Worm.Win32.IRCBOT.SDY

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。

ワームは、IRCサーバに接続します。 ただし、情報公開日現在、このWebサイトにはアクセスできません。

ワームは、感染コンピュータ上の特定の情報を収集します。

ワームは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ワームは、異なるファイル名を用いて以下のフォルダ内に自身のコピーを作成します。

• If OS is Windows XP or older:
  • %ProgramFiles%\CommonFiles\AdobeARM.exe → File attribute is set to system, hidden, readonly
• If OS is Windows 7 or newer:
  • %Application Data%\AdobeARM.exe → File attribute is set to system, hidden, readonly
• {Removable or Remote Drive}\RECYCLER\{SID}\Autorunme.scr → File attribute is set to system, hidden, readonly

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

ワームは、以下のファイルを作成します。

• {Removable or Remote Drive}\RECYCLER\{SID}\Desktop.ini → File attribute is set to system, hidden, read only
• {Removable or Remote Drive}\autorun.inf → File attribute is set to system, hidden, read only

ワームは、以下のプロセスを追加します。

• If OS is Windows XP or older:
  • %ProgramFiles%\CommonFiles\AdobeARM.exe {Malware PID} {Malware File Path}\{Malware File Name}
• If OS is Windows 7 or newer:
  • %Application Data%\AdobeARM.exe {Malware PID} {Malware File Path}\{Malware File Name}

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

ワームは、以下のフォルダの属性をシステムフォルダおよび隠しフォルダに設定します。これにより、自身のコンポーネントの検出および削除を避けます。

• {Removable or Remote Drive}\RECYCLER
• {Removable or Remote Drive}\RECYCLER\{SID}

ワームは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• routerpccw
• pccwstormlite
• pccwlite

自動実行方法

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run (If OS is Windows XP or older)
Adobe ARMS = %ProgramFiles%\CommonFiles\AdobeARM.exe

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run (If OS is Windows 7 or newer)
Adobe ARMS = %Application Data%\AdobeARM.exe

他のシステム変更

ワームは、以下のファイルを改変します。

• If OS is Windows XP or older:
  • %System%\drivers\tcpip.sys

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

ワームは、インストールの過程で、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run (If OS is Windows XP or older)
Patches = 1

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\AuthorizedApplications\
List (If OS is Windows XP or older)
%Program Files%\Common Files\AdobeARM.exe = %Program Files%\Common Files\AdobeARM.exe:*:Enabled:Adobe ARMS

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Tcpip\Parameters (If OS is Windows XP or older)
TcpNumConnections = 0x00FFFFFE

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Dnscache\Parameters (If OS is Windows XP or older)
MaxCacheTtl = 0x00000708

ワームは、以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
Explorer (If OS is Windows XP or older)
NoFolderOptions = 1

(註：変更前の上記レジストリ値は、「0」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
Explorer (If OS is Windows XP or older)
NoRun = 1

(註：変更前の上記レジストリ値は、「0」となります。)

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
Explorer (If OS is Windows XP or older)
NoFolderOptions = 1

(註：変更前の上記レジストリ値は、「0」となります。)

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
Explorer (If OS is Windows XP or older)
NoRun = 1

(註：変更前の上記レジストリ値は、「0」となります。)

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced (If OS is Windows XP or older)
Hidden = 2

(註：変更前の上記レジストリ値は、「1」となります。)

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced (If OS is Windows XP or older)
ShowSuperHidden = 0

(註：変更前の上記レジストリ値は、「1」となります。)

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced (If OS is Windows XP or older)
SuperHidden = 0

(註：変更前の上記レジストリ値は、「1」となります。)

感染活動

ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。

上記INFファイルには、以下の文字列が含まれています。

[autorun]
{garbage code}
USEAUTOPLAY=1
open=RECYCLER\{SID}\autorunme.scr
{garbage code}
action=Open folder to view files
{garbage code}
shell\open=Open
shell\open\command=RECYCLER\{SID}\autorunme.scr
shell\open\default=1
{garbage code}

バックドア活動

ワームは、以下のいずれかのIRCサーバに接続します。

• tcp://{BLOCKED}opto.org:7562

ただし、情報公開日現在、このWebサイトにはアクセスできません。

ワームは、リモートでInternet Relay Chat （IRC）サーバにアクセスし、不正リモートユーザから以下のコマンドを受信します。

• USER
• NICK
• PING
• PONG
• JOIN
• PRIVMSG
• MODE
• KICK
• QUIT
• PART

ルートキット機能

ワームは、ルートキット機能を備えていません。

情報漏えい

ワームは、感染コンピュータ上の以下の情報を収集します。

• OS version
• Computer name
• Locale Info

その他

ワームは、以下のWebサイトにアクセスし、情報を送受信します。

• tcp://{BLOCKED}.0:71

ワームは、以下を実行します。

• It terminates itself if the following checks if it is running in a sandbox or virtual environment is successful:
  • Loads sbiedll.dll.
  • Checks if username is CurrentUser.
  • Execute an instruction that will raise an exception in virtual machines.
• It terminates itself if it detects that it is being debugged.
• It injects code into explorer.exe that will start the malware if it is terminated.
• Based on code analysis, it has the capability to download files from its server and terminate processes.

ワームは、脆弱性を利用した感染活動を行いません。

<補足>
インストール

ワームは、異なるファイル名を用いて以下のフォルダ内に自身のコピーを作成します。

• OSがWindows XPまたはそれ以前の場合：
  • %ProgramFiles%\CommonFiles\AdobeARM.exe → ファイルの属性がシステムファイル属性、隠しファイル属性、読み取り専用属性に設定される
• OSがWindows 7またはそれ以降の場合：
  • %Application Data%\AdobeARM.exe → ファイルの属性がシステムファイル属性、隠しファイル属性、読み取り専用属性に設定される
• {リムーバブルドライブまたはリモートドライブ}\RECYCLER\{SID}\Autorunme.scr → ファイルの属性がシステムファイル属性、隠しファイル属性、読み取り専用属性に設定される

ワームは、以下のファイルを作成します。

• {リムーバブルドライブまたはリモートドライブ}\RECYCLER\{SID}\Desktop.ini →ファイルの属性がシステムファイル属性、隠しファイル属性、読み取り専用属性に設定される
• {リムーバブルドライブまたはリモートドライブ}\autorun.inf → ファイルの属性がシステムファイル属性、隠しファイル属性、読み取り専用属性に設定される

ワームは、以下のプロセスを追加します。

• OSがWindows XPまたはそれ以前の場合：
  • %ProgramFiles%\CommonFiles\AdobeARM.exe {マルウェアのプロセスID} {マルウェアのファイルパス}\{マルウェアのファイル名}
• OSがWindows 7またはそれ以降の場合：
  • %Application Data%\AdobeARM.exe {マルウェアのプロセスID} {マルウェアのファイルパス}\{マルウェアのファイル名}

ワームは、以下のフォルダの属性をシステムフォルダおよび隠しフォルダに設定します。これにより、自身のコンポーネントの検出および削除を避けます。

• {リムーバブルドライブまたはリモートドライブ}\RECYCLER
• {リムーバブルドライブまたはリモートドライブ}\RECYCLER\{SID}

他のシステム変更

ワームは、以下のファイルを改変します。

• OSがWindows XPまたはそれ以前の場合：
  • %System%\drivers\tcpip.sys

情報漏えい

ワームは、感染コンピュータ上の以下の情報を収集します。

• オペレーティングシステム（OS）のバージョン
• コンピュータ名
• ロケール情報

その他

ワームは、以下を実行します。

• サンドボックスまたは仮想環境内で実行されているかどうかの以下の確認に成功すると、自身の不正活動を終了します。
  • 「sbiedll.dll」の読み込み
  • ユーザ名が「CurrentUser」かどうかの確認
  • 仮想マシン内で例外を発生させる命令の実行
• 自身がデバッグ中であることを検知した場合、自身の不正活動を終了します。
• 不正活動を終了させた自身を起動するためのコードをexplorer.exeに注入します。
• コード​を分析した結果、ワームは、サーバからファイルをダウンロードし、プロセスを終了する機能を備えています。