WORM_BUBLIK.GV

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ワームは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。 ワームは、特定のWebサイトにアクセスし、情報を送受信します。

ワームは、ルートキット機能を備えており、自身に関連したプロセスおよびファイルを隠匿し、ユーザによる検出および削除を避けます。

侵入方法

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ワームは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

• %Application Data%\{random folder found}\{filename found in %System%}

(註：%System%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では "C:\Windows\System32" です。)

ワームは、以下のファイルを作成します。

• {removable drive letter}:\{random folder name}\$REChCLE.BIN
• {removable drive letter}:\{random folder name}\thLmbs.db
• {removable drive letter}:\{random folder name}\vagefile.sys
• {removable drive letter}:\{random folder name}\desktopfini
• {removable drive letter}:\{random folder name}\readme.tat

自動実行方法

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{random CLSID} = "%Application Data%\{random folder found}\{filename found in %System%}"

バックドア活動

ワームは、不正リモートユーザからの以下のコマンドを実行します。

• Remote Desktop / Remote Access
• Download & Upload Files
• Update And Uninstall self
• Download and Load Additional Plugins
     >Disk Propagation - {Hostname}/files/010-update-vl0d3/dsp.psd
     >Messenger Propagation - {Hostname}/files/010-update-vl0d3/msg.gsm
     >BackSocks - {Hostname}/files/010-update-vl0d3/Bot.dll
• Redirect network traffic
• Monitor Browser Activity

ワームは、以下のWebサイトにアクセスし、情報を送受信します。

• https://{BLOCKED}ds.cc/ping.html
• https://{BLOCKED}ds.su/ping.html
• https://{BLOCKED}s.su/ping.html
• https://{BLOCKED}tections.cc/ping.html
• https://{BLOCKED}tections.su/ping.html
• https://{BLOCKED}ections.su/ping.html

ルートキット機能

ワームは、ルートキット機能を備えており、自身に関連したプロセスおよびファイルを隠匿し、ユーザによる検出および削除を避けます。

情報漏えい

ワームは、以下の情報を収集します。

• Installed Applications
• Directory and File List
• Drive Informations
• Network Information
• Username
• Computername
• OS Version
• Hardware Information
• Running Processes