WORM_BUBLIK.GX

トレンドマイクロは、このワームをNoteworthy（要注意）に分類しました。

ワームは、感染活動を行うために、Skypeを利用しスパムメッセージを送信します。送信されるスパムメッセージは、リンクを含んでおり、このワームが自動的にダウンロードされることとなります。またワームは、感染コンピュータのセキュリティを侵害するバックドア機能も備えています。

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ワームは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。 ワームは、特定のWebサイトにアクセスし、情報を送受信します。

ワームは、ルートキット機能を備えており、自身に関連したプロセスおよびファイルを隠匿し、ユーザによる検出および削除を避けます。

侵入方法

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ワームは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

• %Application Data%\{random folder found}\{filename found in %System%}

(註：%System%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では "C:\Windows\System32" です。)

ワームは、以下のファイルを作成します。

• {removable drive letter}:\{random folder name}\$REChCLE.BIN
• {removable drive letter}:\{random folder name}\thLmbs.db
• {removable drive letter}:\{random folder name}\vagefile.sys
• {removable drive letter}:\{random folder name}\desktopfini
• {removable drive letter}:\{random folder name}\readme.tat

自動実行方法

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{random CLSID} = "%Application Data%\{random folder found}\{filename found in %System%}"

バックドア活動

ワームは、不正リモートユーザからの以下のコマンドを実行します。

• Remote Desktop / Remote Access
• Download & Upload Files
• Update And Uninstall self
• Download and Load Additional Plugins
     >Disk Propagation - {Hostname}/files/010-update-vl0d3/dsp.psd
     >Messenger Propagation - {Hostname}/files/010-update-vl0d3/msg.gsm
     >BackSocks - {Hostname}/files/010-update-vl0d3/Bot.dll
• Redirect network traffic
• Monitor Browser Activity

ワームは、以下のWebサイトにアクセスし、情報を送受信します。

• https://{BLOCKED}s.cc/ping.html
• https://{BLOCKED}s.su/ping.html
• https://{BLOCKED}s.su/ping.html
• https://{BLOCKED}ections.cc/ping.html
• https://{BLOCKED}ections.su/ping.html
• https://{BLOCKED}ctions.su/ping.html

ルートキット機能

ワームは、ルートキット機能を備えており、自身に関連したプロセスおよびファイルを隠匿し、ユーザによる検出および削除を避けます。

情報漏えい

ワームは、以下の情報を収集します。

• Installed Applications
• Directory and File List
• Drive Informations
• Network Information
• Username
• Computername
• OS Version
• Hardware Information
• Running Processes

その他

ワームは、リムーバブルドライブ内の自身のコピーに誘導するショートカットファイル（拡張子LNK）も作成します。なお、作成したLNKファイル名には、リムーバブルドライブ内に存在するフォルダ名を使用し、ユーザに作成したLNKファイルをクリックさせようとします。リムーバブルドライブ内の自身のコピーに誘導するLNKファイルは、以下のファイル名を利用します。

• ＜リムーバブルドライブ内で確認したランダムなフォルダ＞\＜ランダムな名前＞.＜ランダムな拡張子＞

ワームが実行するコマンドは、以下のとおりです。

• デスクトップのリモート操作／リモートアクセス
• ファイルのダウンロードおよびアップロード
• 自身の更新およびアップデート
• 追加のプラグインのダウンロードおよび読み込み
  
  • ディスクを介した感染：＜ホスト名＞/files/010-update-vl0d3/dsp.psd
  • メッセンジャーを介した感染：＜ホスト名＞/files/010-update-vl0d3/msg.gsm
  • BackSock：＜ホスト名＞/files/010-update-vl0d3/Bot.dll
• ネットワークトラフィックの転送
• インターネット活動の監視

ワームが収集する情報は、以下のとおりです。

• インストールされているアプリケーション
• ディレクトリおよびファイルのリスト
• ドライブに関する情報
• ネットワークに関する情報
• ユーザ名
• コンピュータ名
• オペレーティングシステム（OS）のバージョン
• ハードウェアに関する情報
• 実行中のプロセス