WORM_CONUSTR.A

ワームは、リムーバブルドライブを介してコンピュータに侵入します。 ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ワームは、バックドア活動の機能を備えていません。

侵入方法

ワームは、リムーバブルドライブを介してコンピュータに侵入します。

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ワームは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

• %User Temp%\conhost.exe

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

ワームは、以下のファイルを作成し実行します。

• %User Temp%\ppxxxx – contains registry data to be added to the machine
• %User Temp%\must.bat – contains commands used to gather information

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

ワームは、以下のフォルダを作成します。

• {Removable Drive Letter}:\RECYCLER
• %User Temp%\Media
• %User Temp%\WPDNSE

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

他のシステム変更

ワームは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
exefile
NeverShowExt = ""

ワームは、以下のレジストリ値を変更します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows NT\CurrentVersion\Windows
Load = "%User Temp%\conhost.exe"

(註：変更前の上記レジストリ値は、「""」となります。)

感染活動

ワームは、すべての物理ドライブおよびリムーバブルドライブ内に以下として自身のコピーを作成します。

• {Removable Drive Letter}:\RECYCLER\Dcfly.exe
• {Removable Drive Letter}:\{original folder name}.exe

バックドア活動

ワームは、バックドア活動の機能を備えていません。

作成活動

ワームは、以下のファイルを作成します。

• %User Temp%\WPDNSE\{random filename}.NLS - password protected archive file containing %User Temp%\winword4.doc
• %User Temp%\Media\{random filename}.ldf – contains BD SQL transaction log file
• {Removable Drive Letter}:\RECYCLER\{random filename}.ldf
• {Removable Drive Letter}:\RECYCLER\{random filename}.NLS

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

情報漏えい

ワームは、以下の情報を収集します。

• System Date
• OS information
• List of user accounts
• List of administrator users
• Running Services
• Active TCP connections
• Running applications and services
• Full network configuration for all adapters
• Contents of the ARP cache
• System Information
• List of network connections
• List of computers in the current domain
• List all domains in the network
• List of all users of each domain
• List of files and directories of drives C:\, D:\, E:\, F:\, G:\, H:\, I:\
• BD SQL transaction log file

情報収集

ワームは、以下のファイル内に収集した情報を保存します。

• %User Temp%\winword4.doc

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

ワームが作成する以下のファイルには、コンピュータに追加されるレジストリ値が含まれています。

• %User Temp%\ppxxxx

ワームが作成する以下のファイルには、情報を窃取するために利用されるコマンドが含まれています。

• %User Temp%\must.bat

ワームが作成する以下のファイルは、パスワード保護されたアーカイブファイルで、” %User Temp%\winword4.doc”が含まれています。

• %User Temp%\WPDNSE\{random filename}.NLS

ワームが作成する以下のファイルには、データベース（DB）のSQLトランザクションログファイルが含まれています。

• %User Temp%\Media\{random filename}.ldf

ワームが収集する情報は以下のとおりです。

• コンピュータの日付
• オペレーティングシステム（OS）の情報
• ユーザアカウントのリスト
• 管理者権限を持つユーザのリスト
• 実行中のサービス
• アクティブなTCP接続
• 実行中のアプリケーションおよびサービス
• すべてのアダプタの完全なネットワーク設定
• ARP（Address Resolution Protocol）キャッシュのコンテンツ
• コンピュータ情報
• ネットワーク接続のリスト
• 現在のドメイン内のコンピュータ
• ネットワーク内のすべてのドメインの列挙
• 各ドメインのすべてのユーザの列挙
• C、D、E、F、G、H、Iドライブのファイルおよびディレクトリのリスト
• BDのSQLトランザクションログファイル

ワームは、自身を隠ぺいするためにフォルダアイコンを利用します。

ワームは、リムーバブルドライブ内のフォルダ名を利用して自身のコピーを作成します。そして元のフォルダを隠すことで、作成したコピーをクリックするようユーザを誘導します。

ワームは、自身が作成したアーカイブファイルのパスワードに「ThisTw0Piece」を利用します。

ワームは、ルートキット機能を備えていません。

ワームは、脆弱性を利用した感染活動を行いません。