WORM_CRIDEX.SPS

ワームは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。 ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ワームは、すべての実行中プロセスに組み込まれ、システムのプロセスに常駐します。

ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。

ワームは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。 ただし、情報公開日現在、このWebサイトにはアクセスできません。

ワーム マルウェアは、自身（コンピュータに侵入して最初に自身のコピーを作成した ワーム ）を削除します。

侵入方法

ワームは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ワームは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %User Profile%\Application Data\KB{random number}.exe

(註：%User Profile% フォルダは、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞"、Windows NTでは、"C:\WINNT\Profiles\＜ユーザ名＞"、Windows 2000, XP, Server 2003の場合は、"C:\Documents and Settings\＜ユーザ名＞" です。)

ワームは、以下のフォルダを作成します。

• %User Profile%\Application Data\{random folder}

(註：%User Profile% フォルダは、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞"、Windows NTでは、"C:\WINNT\Profiles\＜ユーザ名＞"、Windows 2000, XP, Server 2003の場合は、"C:\Documents and Settings\＜ユーザ名＞" です。)

ワームは、すべての実行中プロセスに組み込まれ、システムのプロセスに常駐します。

ワームは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• Local\XME%08X
• Local\XMF%08X
• Local\XMI%08X
• Local\XMM%08X
• Local\XMR%08X
• Local\XMS%08X

自動実行方法

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
KB{random number}.exe = "%User Profile%\Application Data\KB{random number}.exe"

他のシステム変更

ワームは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Microsoft\
WSH

ワームは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
WSH\{random1}
{default} = "{hex numbers}"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings
GlobalUserOffline = "0"

感染活動

ワームは、すべてのリムーバブルドライブ内に以下のフォルダを作成します。

• {random folder}

ワームは、すべてのリムーバブルドライブ内に以下として自身のコピーを作成します。

• {random folder}\{random file name}.exe

ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。

上記INFファイルには、以下の文字列が含まれています。

[autorun]
open={random folder}\{random file name}.exe
shell\Open\Command={random folder}\{random file name}.exe
shell\Open\Default=1
shell\Explore\Command={random folder}\{random file name}.exe
shell\Autoplay\command={random folder}\{random file name}.exe

バックドア活動

ワームは、不正リモートユーザからの以下のコマンドを実行します。

• Download and execute additional files
• Download other files
• Monitors cookies
• Steal login credentials
• Update itself
• Upload collected certificates and credentials

ワームは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• http://{BLOCKED}103.198:8080/zb/v_01_a/in/
• http://{BLOCKED}.150.72:8080/zb/v_01_a/in/
• http://{BLOCKED}.189.124:8080/zb/v_01_a/in/
• http://{BLOCKED}0.138:8080/zb/v_01_a/in/
• http://{BLOCKED}107.70:8080/zb/v_01_a/in/
• http://{BLOCKED}.13.84:8080/zb/v_01_a/in/
• http://{BLOCKED}23.100:8080/zb/v_01_a/in/
• http://{BLOCKED}250.173:8080/zb/v_01_a/in/
• http://{BLOCKED}171.186:8080/zb/v_01_a/in/
• http://{BLOCKED}197.66:8080/zb/v_01_a/in/
• http://{BLOCKED}5.140:8080/zb/v_01_a/in/
• http://{BLOCKED}204.32:8080/zb/v_01_a/in/
• http://{BLOCKED}103.143:8080/zb/v_01_a/in/
• http://{BLOCKED}154.199 8080/zb/v_01_a/in/
• http://{BLOCKED}167.193:8080/zb/v_01_a/in/
• http://{BLOCKED}5.172:8080/zb/v_01_a/in/

ただし、情報公開日現在、このWebサイトにはアクセスできません。

情報漏えい

ワームは、感染したコンピュータ上でInternet Explorer（IE）の使用状況を監視します。ワームは、特にIEのアドレスバーまたはタイトルバー情報を監視しますが、ユーザが銀行関連Webサイトを閲覧しそのサイトのアドレスバーまたはタイトルバーに以下の文字列が含まれていた場合、正規Webサイトを装った偽のログインページを作成します。

• *sso.uboc.com/obc/forms/login.fcc?user_type=R*
• *sso.unionbank.com*
• *statebanktx.com/cgi-bin/prosperity.asp*
• *sterlingwires.com*
• *sunshinestatefederal.wblnk.com*
• *suntrust.com*
• *suntrust.com/access/oblix/apps/webgate/bin/webgate.dll?APP=OTM*
• *svbconnect*
• *svbconnect.com*
• *swedbank.lv*
• *tabbank.com*
• *tbb.ee*
• *tdcommercialbanking*
• *telepc.net*
• *top.capitalonebank.com*
• *towernet.capitalonebank.com*
• *trast.net*
• *trastnet.tkb.com.cy*
• *treas-mgt.frostbank.com*
• *treasury.pncbank.com*
• *treasury.wamu.com*
• *treasurydirect.tdbank.com*
• *treasurylinkweb.com*
• *treasurylinkweb.com/fnbo/cgi-bin/welcome.cgi*
• *treasurypathways.com*
• *treasurypro.umpquabank.com/cashplus/portalAPI*
• *treasuryservices.banknow.texascapitalbank.com*
• *trustmark.openbank.com*
• *trustweb.com*
• *trz.tranzact.org*
• *ub.lt*
• *unitedbankwi.com*
• *usgateway2.rbs.com*
• *valartis.at*
• *valartis.li*
• *vectrabank.com/busi_bank_00.jsp*
• *vpbank.com*
• *vpn1.*
• *vpn1.sandyspringbank.com*
• *wblnk.*
• *wblnk.com*
• *wbsavings.wblnk.com*
• *wcma.businesscenter.ml.com/bcprivate/asp/WCMALoginEA.aspx*
• *wcmfd/wcmpw*
• *web-access*
• *web.accessor.com*
• *.com/K1/*
• *.onlineaccess1.com*
• *.secure-banking.com*
• */Authentication/zbf/k*
• */Authentication/zbf/k/*
• */BB/LOGON/*
• */CASHplus/*
• */CLKCCM/*
• */CMMain.CFM*
• */Common/SignOn/*
• */Common/SignOn/Start.asp*
• */IBWS/*
• */LoginOLB/LoginOLB*
• */ach/*
• */cashman/*
• */cmWire*
• */cmserver/*
• */ebc_ebc1961/*
• */engine/login/businesslogin*
• */ibs.*
• */icm/*
• */icm2/*
• */inets/*
• */livewire/*
• */netbnx/*
• */olbb/*
• */phcp*
• */sbuser/*
• */smallbiz/*
• */wcmpw/*
• */webcm/*
• */wire/*
• */wires/*
• *1stunitedbankfl*
• *AchPayment*
• *BusinessAppsHome*
• *CLKCCM*
• *CorporateAccounts*
• *CorporateBankingWeb*
• *LoginCM*
• *LoginCM.aspx*
• *MemberACH*
• *Payroll.faces*
• *Pres_WA_Wires*
• *RBS_Commercial*
• *RsaGoIdAuthentication*
• *SwiftTransfer*
• *WireTransfer*
• *ablv.com*
• *access.jpmorgan.com*
• *access.rbsm.com/logon*
• *access.usbank.com*
• *accessbankplc.com*
• *accurint.com*
• *ach.shazam.net/webcm/customer.asp*
• *achieveaccess.citizensbank.com*
• *achweb.unionbank.com*
• *achworks.com*
• *achworks.com/EXEC*
• *alltimetreasury.pacificcapitalbank.com*
• *alphabank.com.cy*
• *anb.portalvault.com*
• *atbonlinebusiness.com*
• *auth.carolinetools.com/gk/eTreasury/Default.aspx*
• *auth.umb.com*
• *authmaster.nationalcity.com*
• *authmaster.nationalcity.com/tmgmt*
• *baltikums.com*
• *baltikums.eu*
• *bancfirstbusinessonline.com/bbw/cmserver/welcome/default/verify.cfm*
• *banesco.com.pa*
• *bankbyweb*
• *bankfirst.com*
• *banking.calbanktrust.com*
• *banking.calbanktrust.com/iLogin.jsp*
• *banking.firsttennessee.biz*
• *banknet.lv*
• *bankofamerica.com*
• *bankofbermuda.com*
• *bankofbermuda.com/1/2/idv.Authentication*
• *bankofcyprus.com*
• *bankonline.sboff.com*
• *bankonline.sboff.com/OFS2/InternetBanking*
• *bankonline.umpquabank.com*
• *bbo.1stsource.com*
• *bib.lv*
• *billauth*
• *billmenu*
• *bizcurrency.com*
• *blilk*
• *blilk.*
• *blilk.com*
• *bmoharrisprivatebankingonline.com*
• *bmomutualfunds.com*
• *bnycash.bankofny.com*
• *bob-w.*
• *bob.sovereignbank.com*
• *bolb-east.associatedbank.com*
• *bolb-west.associatedbank.com*
• *bolb.*
• *boveda.banamex.com.mx*
• *bscincky.com*
• *business-eb.ibanking-services.com/K1/sb_login.jsp*
• *business.macu.com*
• *business.macu.com/*
• *business.netbankerplus.com*
• *business_solutions*
• *businessaccess.citibank.citigroup.com*
• *businessbanking.cibc.com*
• *businessbanking.tdcommercialbanking.com/WBB/LoginDisplay*
• *businessclassonline.compassbank.com*
• *businesse-cashmanager.web-access.com/natpenn/cgi-bin/welcome.cgi*
• *businesslogin*
• *businesslogins.asp*
• *businessmanager.com*
• *businessmanager.com/signon*
• *businessonline.*
• *businessonline.huntington.com*
• *businessonline.tdbank.com*
• *businessportal.mibank.com*
• *butterfieldonline.ky*
• *bxs.com*
• *cashanalyzer.com*
• *cashman*
• *cashman.arvest.com*
• *cashmanager.mizuhoe-treasurer.com*
• *cashmgmt*
• *cashmgt*
• *cashplus*
• *cashproonline.bankofamerica.com*
• *cashproonline.bankofamerica.com/cpwportal/appmanager/cpo/public*
• *cashproweb.com/cpwportal*
• *cbbusinessonline.com*
• *cbbusinessonline.com/commercebankolen/control/BoleTransactional.commercebank*
• *cbs.firstcitizens.com*
• *ce.solutions-corporate.com/*
• *cencorpcu.com*
• *cencorpcu.com/*
• *cfgbusinessaccess.com*
• *checkgateway*
• *checkgateway.com/*
• *checkout.com/va/login*
• *cib.bankofthewest*
• *cib.bankofthewest.com*
• *cibconline.cibc.com*
• *cimbanque.net*
• *citizensbankmoneymanagergps.com*
• *cmachm.w*
• *cmbmnt.w*
• *cmol.bbt.com/auth*
• *cmserver*
• *cmwirp.w*
• *cnbsec1.*
• *colb.*
• *comerica*
• *comerica.com*
• *comerica.com/businessconnect/*
• *commercebusinessdirect.com*
• *commercial.wachovia.com*
• *commercialservices*
• *commercialservices.mandtbank.com*
• *connect.bankcolonial.com*
• *connect.colonialbank.com*
• *constitutioncorp.org*
• *constitutioncorp.org/www/index.asp*
• *corpACH*
• *corporate.epfc.com*
• *corporate.epfc.com/epfc/pfcinternet.nsf/cobrokers*
• *corporatebankingweb*
• *corporateconnect.net*
• *corporateonlinebanking.com/bbw/cmserver/welcome/default/verify.cfm*
• *corpower.coop*
• *createCorpWire*
• *createWire*
• *cs.directnet.com*
• *cu.com*
• *cu.org*
• *danskebanka.lv*
• *db-direct.db.com/u/eb/Login_Main.serv*
• *directline4biz.com*
• *directnet.com*
• *e-moneyger*
• *e-moneyger.com*
• *e-norvik.lv*
• *easywebcpo.td.com/waw/idp*
• *ebank.rcbcy.com*
• *ebanking-services*
• *ebanking-services.com*
• *ebc_ebc1961*
• *ebemo.bemobank.com*
• *ebill.highmark.com*
• *ecash.*
• *ecash.fsbnm.com*
• *ecash.mbvtonline.com*
• *ecm-transfers.unionbank.com*
• *ecms.unionbank.com*
• *efirstbank.com*
• *efirstbank.com/business/*
• *ekp.lv*
• *enternetbank.com*
• *enternetbank.com/exact4web/*
• *enterprise2.openbank.com*
• *epd.uscentral.org*
• *epd.uscentral.org/mfa/enterUsername.action*
• *eurobankefg.com*
• *eurobankefg.com.cy*
• *exact4web*
• *exness.com*
• *express.53.com*
• *express.53.com/express/*
• *express.53.com/express/logon.action*
• *expressdeposit.colonialbank.com*
• *fbmedirect.com*
• *ffinonline.com*
• *ffrontier.com*
• *firstbancorp.com*
• *firstbanks.com*
• *firstbanks.com/olb*
• *firstbanks.com/olb/login.asp*
• *firstcitizens.com*
• *firstcitizens.com/cb/servlet/cb/loginfcbnc.jsp*
• *firstmutualonline.com/login_business.asp*
• *firstplacebankecomm.net/Common/SignOn/Start.asp*
• *fnfgbusinessonline.enterprisebanker.com*
• *fxpayments.americanexpress.com*
• *geonline.lv*
• *global-ebanking.com*
• *global-ebanking.com/eng/home.htm*
• *global1.onlinebank.com*
• *globalink.leumiusa.com*
• *goldleaf*
• *goldleafach.com*
• *guard.scotiabank.com/guard/scopr/logon/loginAction*
• *handelsbanken.lv*
• *harleysvillesavingsbank.com/Common/SignOn*
• *hbcash.exe*
• *hblibank.com*
• *hbproxy.exe*
• *hellenicnetbanking.com*
• *hillsbank.com*
• *hillsbank.com/default.cfm*
• *hiponet.lv*
• *hkbea*
• *hsbc.com.mx*
• *i-linija.lt*
• *ib.baltikums.com*
• *ib.dnb.lv*
• *ib.snoras.com*
• *ibanka.seb.lv*
• *ibanking-services.com*
• *ibbpl2.com*
• *ibbpowerlink.com*
• *ibbusinessnet.com*
• *ibcbankonline.ibc.com/ibccorpweb/core/login.aspx*
• *ibs.secure-banking*
• *ibs5.secure-banking*
• *ifxmanager.bankofny.com*
• *ifxmanager.bnymellon.com*
• *inetbanker*
• *injectreceiver*
• *internationalbanking.*
• *internationalpayments.*
• *internet-ebanking.com*
• *internetbanker.cc*
• *intrusttreasury.com/bbw/cmserver/welcome/default/verify.cfm*
• *itinternet.net*
• *itinternet.net/*
• *itreasury.amsouth.com*
• *itreasury.amsouth.com/phcp/servlet/CustomerLoginServlet*
• *jqueryaddonsv2.js*
• *ktt.key.com*
• *lakecitybank.webcashmgmt.com*
• *lakelandbank.com*
• *lasallebank.com/business_solutions.html*
• *libertymutualbusinessdirect.com*
• *lionbank.com*
• *login_business.asp*
• *loyalbank.com*
• *lv.unicreditbanking.net*
• *marfinbank.com.cy*
• *mbachexpress.com*
• *mcb-home.com/online*
• *merchantsbk.inetbanker.com*
• *metrobankdirect.com*
• *metrobankdirect.com/*
• *metrobankdirect.com/corp_login_page.asp*
• *midatlanticcorp.org*
• *midatlanticcorp.org/Phoenix/UI/IS/Login/Loginframe.htm*
• *moneymanagergps.com*
• *multinetbank.eu*
• *my.statestreet.com*
• *mybankfirstunited.wblnk.com*
• *mycorporate.org*
• *myonlineservices.cbolobank.com/ISRVCOMWebApplication/login/Login.jsp*
• *nashvillecitizensbank.com*
• *nationalcity.com/consultnc*
• *nbarizona.com/login_business.jsp*
• *nbb.controlsecure.com*
• *ncms-inc.com*
• *ncms-inc.com/*
• *netteller*
• *nfbconnect.com*
• *northbaybancorp.com*
• *northerntrust.com*
• *norvik.lv*
• *nsbank.com*
• *nsbank.com//biz*
• *nsbank.com//biz/index.jsp*
• *nsbank.com/biz*
• *ntrs.com*
• *nubi*
• *olb.*
• *olb.ent.com/business/*
• *online-offshore.lloydstsb.com*
• *online.1stnb.com*
• *online.alphabank.com.cy*
• *online.citadele.lv*
• *online.dollarbank.com*
• *online.ibl.com.lb*
• *online.lkb.lv*
• *online.ovcb.com*
• *online.usb.com.cy*
• *online.wilberbank.com*
• *onlineaccess1.com*
• *onlinebank.wesbanco.com*
• *onlinebanker*
• *onlinebanker.usbank.com*
• *onlinebanking.1stunitedbankfl.com*
• *onlinebanking.banksterling.com*
• *onlinebanking.banksterling.com/login2.asp*
• *onlinencr.com*
• *onlineserv/CM*
• *onlineserv/CM/adminLogin.cgi?state=login*
• *onlineserv/cm*
• *otm.suntrust.com*
• *pacificenterprisebank.com*
• *parex.lv*
• *passport.texascapitalbank.com*
• *pastabanka.lv*
• *paylinks.cunet.org*
• *paylinks.cunet.org/il.htm*
• *phcp/servlet*
• *piraeusbank.com*
• *portfolioonline.metavante.com*
• *premierview.membersunited.org*
• *premierview.membersunited.org/Core/login.aspx?ReturnUrl=%2fDefault.aspx*
• *privatbank.lv*
• *pub/html*
• *rbs.com/wps/portal/*
• *rbs.com/wps/portal/cb/applications*
• *rbscoutts.com*
• *rbsidigital.com*
• *rbsiibanking.com*
• *rbsm.com*
• *rbworld.lv*
• *rcbcy.com*
• *regions.com*
• *rietumu.lv*
• *royalbank.com/cgi-bin/rbaccess*
• *s2b.*
• *s2b.standardchartered.com*
• *sampopank*
• *sampopank.ee*
• *sandyspringbank.com*
• *scotiaconnect.scotiabank.com*
• *scotiaonline.scotiabank.com*
• *scottvalleybank.com*
• *scottvalleybank.com/OnlineBanking*
• *seb.ee*
• *seb.lt*
• *seb.lv*
• *secure-banking*
• *secure-eccu.org*
• *secure-eccu.org/Common/SignOn/Start.asp*
• *secure-nvboh.com/Common*
• *secure.1stfedbank.com*
• *web.accessor.com/ACMWeb/redirect.do?dealer=725*
• *webbankingforbusiness.mandtbank.com*
• *webcash*
• *webcashmgmt.com*
• *webexpress*
• *webexpress.tdbank.com/wcmfd/wcmpw/CustomerLogin*
• *webinfocus.mandtbank.com*
• *webinfocus.mandtbank.com/MANDT*
• *weblink.websterbank.com*
• *wellsoffice.wellsfargo.com*
• *westernbankcash.com*
• *westernetbank.com*
• *westfield.accounts-in-view.com*
• *wtdirect.com*
• *wtdirect.com/wtdirect/*
• *www.2checkout.com/va/login*
• *www.amegybank.com/*
• *www4.bmo.com*
• *www8.comerica.com*
• .associatedbank.com*
• *secure.1stfedbank.com/login_business.asp*
• *secure.ally.com*
• *secure.bancinternetgroup.com*
• *secure.currency.lloydstsb-offshore.com*
• *secure.dalhartfederal.com*
• *secure.dalhartfederal.com/engine/login/businesslogins.asp*
• *secure.fnbhutch.com*
• *secure.fsbperkasie.com*
• *secure.fsbperkasie.com/*
• *secure.fundsxpress.com*
• *secure.ltbbank.com*
• *secure.ltblv.com*
• *secure2.umb.com*
• *secure2.umb.com/icm2/ICMindex*
• *secure7.onlineaccess1.com*
• *securebanking.cbtks.com*
• *securebanking.cbtks.com/CoreFirst/Authentication/Login.aspx?c=1*
• *securentry*
• *securentry.calbanktrust.com*
• *securentrycorp.*
• *securentrycorp.amegybank.com*
• *secureport.texascapitalbank.com*
• *server14.cey-ebanking.com*
• *servlet/teller*
• *singlepoint.usbank.com*
• *site-secure.com/TekPortfolio*
• *snoras.com*
• *solutions-corporate.com*
• *springbankconnect.com/views/login/*
• *ssl.selectpayment.com/mp*
• *sso.uboc*
• *sso.uboc.com*

その他

ワーム は、自身（コンピュータに侵入して最初に自身のコピーを作成した ワーム ）を削除します。