Worm.Win32.MACOUTE.JKA

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ワームは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Program Files%\win\msn.exe

(註：%Program Files%フォルダは、デフォルトのプログラムファイルフォルダです。C:\Program Files in Windows 2000(32-bit)、Server 2003(32-bit)、XP、Vista(64-bit)、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files"です。また、Windows XP(64-bit)、Vista(64-bit)、7(64-bit)、8(64-bit)、8.1(64-bit)、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files（x86）" です。)

ワームは、以下のファイルを作成します。

• %User Temp%\iosystem.dll

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

ワームは、以下のプロセスを追加します。

• "%Program Files%\win\msn.exe" pscp|%User Temp%\iosystem.dll|{BLOCKED}7.{BLOCKED}.185.184:/ecoute/spool/{User name}-{Computer Name}-{Volume information}

ワームは、以下のフォルダを作成します。

• %Program Files%\win

(註：%Program Files%フォルダは、デフォルトのプログラムファイルフォルダです。C:\Program Files in Windows 2000(32-bit)、Server 2003(32-bit)、XP、Vista(64-bit)、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files"です。また、Windows XP(64-bit)、Vista(64-bit)、7(64-bit)、8(64-bit)、8.1(64-bit)、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files（x86）" です。)

ワームは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• msnAPOv52552009

自動実行方法

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
apo5 = %Program Files%\win\msn.exe <- 32BIT OS

HKEY_LOCAL_MACHINE\WOW6432Node\SOFTWARE\
Microsoft\Windows\CurrentVersion\
Run
apo5 = %Program Files%\win\msn.exe <-64Bit OS

他のシステム変更

ワームは、インストールの過程で、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\IntelliForms\Storage2

感染活動

ワームは、すべてのリムーバブルドライブ内に以下として自身のコピーを作成します。

• {Removable Drive}:\{folder name}.exe

情報漏えい

ワームは、以下の情報を収集します。

• System Information
• User Name
• Computer Name
• Volume Information
• Digital Product ID
• Internet Explorer cache (Visited URL:)
• Mozilla FireFox Credentials
• Window Lives Credentials

その他

ワームは、以下を実行します。

• ワームは、リムーバブルドライブに存在するフォルダ名を取得し、そのフォルダ名を自身のコピーのファイル名として使用してリムーバブルドライブに自身のコピーを作成します。
• ワームは、検体の実行中に以下のパラメータが使用されたかどうかを確認し、使用されている場合、自身を終了します。
  • pscp
  • -sftp
  • -pw
  • -q
  • -batch
  • -pgp
  • -load
  • -ssh
  • -telnet
  • -rlogin
  • -raw
  • -v
  • -l
  • -L
  • -R
  • -D
  • -nc
  • -m
  • -pw
  • -P
  • -agent
  • -pagent
  • -pageant
  • -noagent
  • -nopagent
  • -nopageant
  • -x
  • -X
  • -t
  • -T
  • -N
  • -C
  • -1
  • -2
  • -i
  • -4
  • -ipv4
  • -6
  • -ipv6
• ワームは、以下のURLに接続し、収集した情報を送信します。
  • {BLOCKED}.{BLOCKED}.185.184:8829

<補足>

インストール

ワームは、以下のプロセスを追加します。

• "%Program Files%\win\msn.exe" pscp|%User Temp%\iosystem.dll|{BLOCKED}7.{BLOCKED}.185.184:/ecoute/spool/{ユーザ名}-{コンピュータ名}-{ボリューム情報}

感染活動

ワームは、すべてのリムーバブルドライブ内に以下として自身のコピーを作成します。

• {リムーバブルドライブ}:\{フォルダ名}.exe

情報漏えい

ワームは、以下の情報を収集します。

• システム情報
• ユーザ名
• コンピュータ名
• ボリューム情報
• デジタル製品ID
• Internet Explorerのキャッシュ (訪問したURL:)
• Mozilla FireFoxの認証情報
• Window Livesの認証情報