Worm.WSF.DUNIHI.PAT

ワームは、リムーバブルドライブを介してコンピュータに侵入します。 ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ワームは、感染コンピュータに接続しているすべてのリムーバブルドライブ内に自身のコピーを作成します。

ワームは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

ワームは、ユーザのキー入力操作情報を記録し、情報を収集します。

侵入方法

ワームは、リムーバブルドライブを介してコンピュータに侵入します。

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ワームは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

• %Application Data%\{Malware Name}.wsf

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

ワームは、以下のファイルを作成します。

• %User Temp%\ebgeaegdbdecaedfebace.reg

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

ワームは、以下のプロセスを追加します。

• regedit.exe %User Temp%\ebgeaegdbdecaedfebace.reg

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

自動実行方法

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{Malware Name} = wscript.exe //B "%Application Data%\{Malware Name}.wsf"

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Run
{Malware Name} = wscript.exe //B "%Application Data%\{Malware Name}.wsf"

他のシステム変更

ワームは、インストールの過程で、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\{Malware Name}
(Default) = {true or false} - {Date of Infection}

ワームは、インストールの過程で、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\{Malware Name}

ワームは、以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System
EnableLUA = 0

(註：変更前の上記レジストリ値は、「1」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System
ConsentPromptBehaviorAdmin = 0

(註：変更前の上記レジストリ値は、「3」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\
Microsoft\Windows Defender
DisableAntiSpyware = 1

(註：変更前の上記レジストリ値は、「0」となります。)

感染活動

ワームは、感染コンピュータに接続しているすべてのリムーバブルドライブ内に自身のコピーを作成します。

マルウェアは、感染コンピュータ上にフォルダやファイルに偽装したショートカットファイル（拡張子「LNK」）を作成して自身のコピーへ誘導します。

バックドア活動

ワームは、不正リモートユーザからの以下のコマンドを実行します。

• disconnect - Terminate malware process
• reboot - Reboot the machine
• shutdown - Shutdown the machine
• execute - Execute command sent by C&C
• install-sdk - Install tool used for stealing passwords from web browsers
• get-pass - Steal passwords from a specific web browser
• get-pass-offline - Steal passwords from pre-determined web browsers
• update - Update the malware script
• uninstall - Uninstall the malware from the machine
• up-n-exec - Download and execute a file from a pre-determined URL
• bring-log - Upload WSH logs
• down-n-exec - Download and execute a file from the given URL
• filemanager - Download and execute fm-plugin.exe
• rdp - Download and execute rd-plugin.exe used for keylogging
• rev-proxy - Drop and execute rprox.exe used for reverse proxy
• exit-proxy - Terminate rprox.exe
• exit-hrdp - Terminate hrdp.exe
• keylogger - Drop and execute kl-plugin.exe used for keylogging
• offline-keylogger - Drop and execute kl-plugin.exe used for keylogging
• browse-logs - Upload list of logs
• cmd-shell - Execute sent shell command
• get-processes - Sends list of running processes
• disable-uac - Disable security
• check-eligible - Check if a file exists
• rev-rdp - Download and execute rdp
• force-eligible - Check if a file exists then execute it
• elevate - Elevate malware administrative rights
• if-elevate - Check if malware has administrative rights
• kill-process - Terminate a specific process
• sleep - The malware sleeps for a given amount of time
• update - Update the malware script

ワームは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• danielmasonyachtsale.{BLOCKED}s.org

情報漏えい

ワームは、以下の情報を収集します。

• Computer Name
• User Name
• Operating System
• AV Products
• Machine's Country
• Disk Volume Serial Number
• User Credentials

ワームは、ユーザのキー入力操作情報を記録し、情報を収集します。