WORM_BLADABINDI.YYSQD

ワームは、コンピュータの情報を収集し、自身のサーバに送出します。

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ワームは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

ワームは、ユーザのキー入力操作情報を記録し、情報を収集します。

侵入方法

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ワームは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %User Temp%\netcom.exe

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

ワームは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• 2db3e84bdc810610f78b5d69b1427857

自動実行方法

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
2db3e84bdc810610f78b5d69b1427857 = "%User Temp%\netcom.exe" ..

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
2db3e84bdc810610f78b5d69b1427857 = "%User Temp%\netcom.exe" ..

ワームは、Windows起動時に自動実行されるよう＜User Startup＞フォルダ内に以下のファイルを作成します。

• %User Startup%\2db3e84bdc810610f78b5d69b1427857.exe ← copy of itself

(註：%User Startup%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞\Start Menu\Programs\Startup" 、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、" C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup" です。.)

他のシステム変更

ワームは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\2db3e84bdc810610f78b5d69b1427857

ワームは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\2db3e84bdc810610f78b5d69b1427857
US = "!"

HKEY_CURRENT_USER\Environment
SEE_MASK_NOZONECHECKS = "1"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\AuthorizedApplications\
List
%User Temp%\netcom.exe = "%User Temp%\netcom.exe:*:Enabled:netcom.exe"

感染活動

ワームは、すべてのリムーバブルドライブ内に以下として自身のコピーを作成します。

• {Removable Drive letter}:\2db3e84bdc810610f78b5d69b1427857.exe

バックドア活動

ワームは、不正リモートユーザからの以下のコマンドを実行します。

• Download and execute files
• Execute arbitrary codes or shell commands
• Uninstall itself
• Update itself
• Terminate itself
• Screenshot
• Registry management

ワームは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• {BLOCKED}mathkor.{BLOCKED}p.biz:9999

作成活動

ワームは、以下のファイルを作成します。

• %User Profile%\.tmp ← contains logged keystrokes
• %Desktop%\.tmp ← contains logged keystrokes

(註：%User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞" です。.. %Desktop%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Desktop"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\Desktop" です。.)

情報漏えい

ワームは、ユーザのキー入力操作情報を記録し、情報を収集します。

ワームは、Windows起動時に自動実行されるよう＜User Startup＞フォルダ内に以下のファイルを作成します。これは、自身のコピーです。

• %User Startup%\2db3e84bdc810610f78b5d69b1427857.exe

ワームは、すべてのリムーバブルドライブ内に以下として自身のコピーを作成します。

• ＜リムーバブルドライブのアルファベット＞:\2db3e84bdc810610f78b5d69b1427857.exe

ワームは、不正リモートユーザからの以下のコマンドを実行します。

• ファイルのダウンロードおよび実行
• 任意のコードあるいはシェルコマンドの実行
• 自身のアンインストール
• 自身の更新
• 自身の終了
• スクリーンショットの取得
• レジストリの管理

ワームが作成する以下のファイルには、記録されたキー入力操作情報が含まれます。

• %User Profile%\.tmp
• %Desktop%\.tmp

ワームは、以下を実行します。

• 以下のシェルコマンドを実行して、ファイアウォールによる保護を回避します。
  %System%\netsh firewall add allowedprogram "%User Temp%\netcom.exe" "netcom.exe" ENABLE
• ワームは、リムーバブルドライブにある自身のコピーを隠ぺいします。
• リムーバブルドライブにある既存のファイルを利用して LNK（ショートカット）ファイルを作成します。元のファイル名とファイル拡張子を利用し、末尾に「.LNK」を追加します。その後、元のファイルを隠し、ユーザに LNKファイルをクリックさせます。このLNKファイルは、リムーバブルドライブ内にある隠れた自身のコピーへと誘導します。

マルウェアは以下の情報を収集し、自身のサーバに送出します。

• コンピュータ名
• ユーザ名
• 国名
• ボリュームシリアル番号
• オペレーティング・システム(OS)のバージョン
• アクティブなウィンドウ