Worm.VBS.DUNIHI.AAYSYT

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ワームは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。 ただし、情報公開日現在、このWebサイトにはアクセスできません。

ワームは、感染コンピュータ上の特定の情報を収集します。

侵入方法

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ワームは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %User Temp%\{Malware Name}.vbs
• %User Startup%\{Malware Name}.vbs
• {Infected Removable Drive}:\{Malware Name}.vbs → attributes set to System & Hidden

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %User Startup%フォルダは、現在ログオンしているユーザのスタートアップフォルダです。Windows 98およびMEの場合、通常 "C:\Windows\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows NTの場合、通常 "C:\WINNT\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows 2003(32-bit)、XP、2000(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows Vista、7、8、 8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup" です。)

ワームは、以下のプロセスを追加します。

• "%System%\wscript.exe" //B "%User Temp%\{Malware Name}.vbs"

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

自動実行方法

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{Malware Name} = wscript.exe //B "%User Temp%\{Malware Name}.vbs"

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Run
{Malware Name} = wscript.exe //B "%User Temp%\{Malware Name}.vbs"

他のシステム変更

ワームは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\{Malware Name}.vbs
(Default) = {true/false} - {Date that the malware run}

感染活動

ワームは、すべてのリムーバブルドライブ内に以下として自身のコピーを作成します。

• {Infected Drive}:\{Malware Name}.vbs → attributes set to System & Hidden

マルウェアは、感染コンピュータ上にフォルダやファイルに偽装したショートカットファイル（拡張子「LNK」）を作成して自身のコピーへ誘導します。

バックドア活動

ワームは、不正リモートユーザからの以下のコマンドを実行します。

• "execute" - Executes arbitrary command from the C&C server
• "update" - Updates malware code and restart the malware
• "uninstall" - Uninstalls the malware
• "send" - Downloads a file from the C&C server, saves it in a specified directory and run it
• "site-send" - Downloads a file from the C&C server and run it
• "recv" - Sends a file from a specified URL to the C&C server
• "enum-driver " - Retrieves list of drives
• "enum-faf" - Retrieves information about files and folders in a specified directory
• "enum-process" - Retrieves information about running processes
• "cmd-shell" - Executes a command using Command Prompt and retrieves its output
• "delete" - Deletes a file or folder
• "exit-process" - Forcefully terminates a process and all its children
• "sleep" - Running script sleeps for a specified amount of time

ワームは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• http://{BLOCKED}ny0501.no-ip.biz:50007/

ただし、情報公開日現在、このWebサイトにはアクセスできません。

情報漏えい

ワームは、感染コンピュータ上の以下の情報を収集します。

• Computer Name
• Username
• OS Name
• Volume Serial Number
• Every Antivirus Installed in System

その他

ワームは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\{Malware Name}

ワームは、以下を実行します。

• It sets the attributes of non-LNK files and folders in the infected drive to System & Hidden

<補足>
インストール

ワームは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %User Temp%\{マルウェアの名前}.vbs
• %User Startup%\{マルウェアの名前}.vbs
• {感染したリムーバブルドライブ}:\{マルウェアの名前}.vbs → システムファイル属性および隠しファイル属性に設定されている

感染活動

ワームは、すべてのリムーバブルドライブ内に以下として自身のコピーを作成します。

• {感染したドライブ}:\{マルウェアの名前}.vbs → システムファイル属性および隠しファイル属性に設定されている

バックドア活動

ワームは、不正リモートユーザからの以下のコマンドを実行します。

• "execute" - C&Cサーバから受信した任意のコマンドの実行
• "update" - マルウェアコードの更新およびマルウェアの再起動
• "uninstall" - マルウェアのアンインストール
• "send" - C&C サーバからファイルのダウンロードおよび特定のディレクトリ内に保存し実行
• "site-send" - C&C サーバからファイルのダウンロードおよび実行
• "recv" - 特定のURL から C&C サーバにファイルの送信
• "enum-driver " - ドライブリストの取得
• "enum-faf" - 特定のディレクトリ内のファイルおよびフォルダに関する情報の取得
• "enum-process" - 実行中のプロセスに関する情報の取得
• "cmd-shell" - コマンドプロンプトを用いてコマンドの実行および出力の取得
• "delete" - ファイルまたはフォルダの削除
• "exit-process" - プロセスおよびすべての自身の子プロセスの強制終了
• "sleep" - 実行中のスクリプトを特定の時間スリープさせる

情報漏えい

ワームは、感染コンピュータ上の以下の情報を収集します。

• コンピュータ名
• ユーザ名
• オペレーティングシステム（OS）の名前
• ボリュームシリアル番号
• システム内にインストールされているすべてのウイルス対策製品

ワームは、感染したドライブ内に存在するLNKファイル以外のファイルやフォルダの属性をシステムファイル属性および隠しファイル属性に設定します。