WORM_BUBLIK.NRK

ワームは、リムーバブルドライブを介してコンピュータに侵入します。 ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ワームは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。 ワームは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

ワームは、リムーバブルドライブを介してコンピュータに侵入します。

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ワームは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

• %Application Data%\{random folder found}\{filename found in %System%}.exe

(註：%System%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では "C:\Windows\System32" です。)

ワームは、以下のコンポーネントファイルを作成します。

• {removable drive letter}:\{random folder found}\$REChCLE.BIN - encrypted
• {removable drive letter}:\{random folder found}\thLmbs.db - encrypted
• {removable drive letter}:\{random folder found}\vagefile.sys - encrypted
• {removable drive letter}:\{random folder found}\desktopfini - encrypted
• {removable drive letter}:\{random folder found}\readme.tat - encrypted

自動実行方法

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{random CLSID} = "%Application Data%\{random folder found}\{filename found in %System%}.exe"

感染活動

ワームは、すべてのリムーバブルドライブ内に以下として自身のコピーを作成します。

• {drive letter}:\{random folder found}\{random filename}.{random extension}

バックドア活動

ワームは、不正リモートユーザからの以下のコマンドを実行します。

• Remote Desktop / Remote Access
• Download & Upload Files
• Update And Uninstall self
• Download and Load Additional Plugins
  >Disk Propagation (DiskSpread) - {Hostname}/files/010-update-rzwpbt9g/dsp.psd
  >Messenger Propagation (MessengerSpread)- {Hostname}/files/010-update-rzwpbt9g/msg.gsm
  >BackSocks - {Hostname}/files/010-update-rzwpbt9g/Bot.dll
  >ftpgrabber - {Hostname}/files/010-update-rzwpbt9g/ffile.dll
• Redirect network traffic
• Monitor Browser Activity

ワームは、以下のWebサイトにアクセスし、情報を送受信します。

• https://{BLOCKED}ections.cc/ping.html
• https://{BLOCKED}s.su/ping.html
• https://{BLOCKED}.su/ping.html
• https://{BLOCKED}s.cc/ping.html
• https://{BLOCKED}ections.su/ping.html
• https://{BLOCKED}ctions.su/ping.html

ダウンロード活動

ワームは、以下のWebサイトから自身のコピーの更新版をダウンロードします。

• {Hostname}/files/010-update-rzwpbt9g/usa_xcv.exe
• https://{BLOCKED}.su/files/rar.exe

情報漏えい

ワームは、以下の情報を収集します。

• Installed Applications
• Directory and File List
• Drive Informations
• Network Information
• Username
• Computername
• OS Version
• Hardware Information
• Running Processes