Worm.VBS.DUNIHI.NBJ

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ワームは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。 ただし、情報公開日現在、このWebサイトにはアクセスできません。

侵入方法

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ワームは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

• %User Temp%\{Malware File Name}.vbs

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

ワームは、以下のプロセスを追加します。

• %System%\wscript.exe //B "%User Temp%\{Malware File Name}.vbs"

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

自動実行方法

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{Malware File Name} = wscript.exe //B "%User Temp%\{Malware File Name}.vbs"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
{Malware File Name} = wscript.exe //B "%User Temp%\{Malware File Name}.vbs"

ワームは、Windows起動時に自動実行されるよう＜User Startup＞フォルダ内に以下のファイルを作成します。

• %User Startup%\{Malware File Name}.vbs

(註：%User Startup%フォルダは、現在ログオンしているユーザのスタートアップフォルダです。Windows 98およびMEの場合、通常 "C:\Windows\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows NTの場合、通常 "C:\WINNT\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows 2003(32-bit)、XP、2000(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows Vista、7、8、 8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup" です。)

他のシステム変更

ワームは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\{Malware File Name}
(Default) = {true or false} - {Date of first execution on the system}

感染活動

ワームは、すべてのリムーバブルドライブ内に以下として自身のコピーを作成します。

• {Drive Letter}:\{Malware File Name}.vbs → attributes set to System & Hidden

マルウェアは、感染コンピュータ上にフォルダやファイルに偽装したショートカットファイル（拡張子「LNK」）を作成して自身のコピーへ誘導します。

バックドア活動

ワームは、不正リモートユーザからの以下のコマンドを実行します。

• "execute" → Executes arbitrary command from the C&C server
• "update" → Updates malware code and restart the malware
• "uninstall" → Uninstalls the malware
• "send" → Downloads a file from the C&C server, saves it in a specified directory and run it
• "site-send" → Downloads a file from the C&C server and run it
• "recv" → Sends a file from a specified URL to the C&C server
• "enum-driver " → Retrieves list of drives
• "enum-faf" → Retrieves information about files and folders in a specified directory
• "enum-process" → Retrieves information about running processes
• "cmd-shell" → Executes a command using Command Prompt and retrieves its output
• "delete" → Deletes a file or folder
• "exit-process" → Forcefully terminates a process and all its children
• "sleep" → Running script sleeps for a specified amount of time

ワームは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• http://{BLOCKED}ip.biz:82/

ただし、情報公開日現在、このWebサイトにはアクセスできません。

ルートキット機能

ワームは、ルートキット機能を備えていません。

情報漏えい

ワームは、以下の情報を収集します。

• Computer name
• Username
• OS name
• Volume serial number
• Antivirus programs installed in the system

その他

ワームは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\{Malware File Name}

ワームは、以下を実行します。

• It sets the attributes of non-LNK files and folders in the infected drive to System & Hidden

マルウェアは、脆弱性を利用した感染活動を行いません。

<補足>
インストール

ワームは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

• %User Temp%\{マルウェアのファイル名}.vbs

ワームは、以下のプロセスを追加します。

• %System%\wscript.exe //B "%User Temp%\{マルウェアのファイル名}.vbs"

感染活動

ワームは、すべてのリムーバブルドライブ内に以下として自身のコピーを作成します。

• {ドライブ文字}:\{マルウェアのファイル名}.vbs → 属性をシステムファイル属性および隠しファイル属性に設定する

バックドア活動

ワームは、不正リモートユーザからの以下のコマンドを実行します。

• "execute" → C&Cサーバからの任意のコマンドを実行する
• "update" → マルウェアコードを更新し、マルウェアを再起動する
• "uninstall" → マルウェアをアンインストールする
• "send" → C&Cサーバからファイルをダウンロードし、指定されたディレクトリ内に保存して実行する
• "site-send" → C&Cサーバからファイルをダウンロードして実行する
• "recv" → 指定されたURLからC&Cサーバにファイルを送信する
• "enum-driver " → ドライブの一覧を取得する
• "enum-faf" → 指定されたディレクトリ内のファイルおよびフォルダに関する情報を取得する
• "enum-process" → 実行中のプロセスに関する情報を取得する
• "cmd-shell" → コマンドプロンプトを使用してコマンドを実行し、その出力を取得する
• "delete" → ファイルまたはフォルダを削除する
• "exit-process" → プロセスおよびその子プロセスすべてを強制終了する
• "sleep" → 実行中のスクリプトを指定された時間スリープさせる

ワームは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• http://{BLOCKED}ip.biz:82/

情報漏えい

ワームは、以下の情報を収集します。

• コンピュータ名
• ユーザ名
• オペレーティングシステム（OS）の名前
• ボリュームシリアル番号
• コンピュータ内にインストールされているウイルス対策製品

その他

ワームは、以下を実行します。

• 感染したドライブ内のショートカットファイル（拡張子「LNK」）以外のファイルおよびフォルダの属性をシステムファイル属性および隠しファイル属性に設定します。