WORM_DORKBOT.AR

ワーム活動：リムーバブルドライブおよびインスタントメッセンジャ（IM）アプリケーションの利用

ワームは、リムーバブルドライブを介してコンピュータに侵入します。

ワームは、すべての実行中プロセスに組み込まれ、システムのプロセスに常駐します。

ワームは、感染コンピュータに接続しているすべてのリムーバブルドライブ内に自身のコピーを作成します。 ワームは、リムーバブルドライブ内に自身のコピーを作成します。作成されたコピーのファイル名として、上記のドライブ上に存在するフォルダ名を使用します。 ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。

ワームは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

ワームは、ルートキット機能を備えており、自身に関連したプロセスおよびファイルを隠匿し、ユーザによる検出および削除を避けます。

侵入方法

ワームは、リムーバブルドライブを介してコンピュータに侵入します。

インストール

ワームは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Application Data%\{random characters}.exe

(註：%Application Data%フォルダは、 Windows 2000、XP、Server 2003 の場合 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" 、 Windows NTの場合 "C:\WINNT\Profiles\＜ユーザ名＞\Application Data"、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞\Application Data" です。)

ワームは、すべての実行中プロセスに組み込まれ、システムのプロセスに常駐します。

自動実行方法

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{malware file name} = "{malware path and file name}"

感染活動

ワームは、すべてのリムーバブルドライブ内に以下のフォルダを作成します。

• {drive letter}:\RECYCLER

ワームは、感染コンピュータに接続しているすべてのリムーバブルドライブ内に自身のコピーを作成します。

ワームは、すべてのリムーバブルドライブ内に以下として自身のコピーを作成します。

• {drive letter}:\RECYCLER\{random characters}.exe

ワームは、リムーバブルドライブ内に自身のコピーを作成します。作成されたコピーのファイル名として、上記のドライブ上に存在するフォルダ名を使用します。

ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。

上記INFファイルには、以下の文字列が含まれています。

[AutoRun]
;{garbage characters}
shellexecute=RECYCLER\{malware file name}.exe
;{garbage characters}
icon=shell32.dll,7
;{garbage characters}
shell\open\command=RECYCLER\{malware file name}.exe
;{garbage characters}
action=Open folder to view files
;{garbage characters}
shell\explore\command=RECYCLER\{malware file name}.exe
;{garbage characters}
useautoplay=1

ワームは、以下のインスタントメッセンジャ（IM）を用いて、メッセージを送信します。このメッセージにはリンクが含まれており、リンク先のリモートサイトには、自身のコピーが組み込まれています。

• MSN Messenger
• Pidgin
• Xchat
• MIRC
• Skype

バックドア活動

ワームは、不正リモートユーザからの以下のコマンドを実行します。

• Update itself
• Download other files
• Perfrom Slowloris, UDP, and SYN flooding
• Send MSN Messenger messages
• Insert iframe tags into HTML files
• Visit a Web page
• Create processes
• Block DNS
• Redirect domains
• Steal login credentials
• Log in to FTP sites

ワームは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• ircr0x.{BLOCKED}ls.net
• ircr0x.{BLOCKED}sh.info
• {BLOCKED}ou.ru:6668
• {BLOCKED}ff.ru:6668

ルートキット機能

ワームは、ルートキット機能を備えており、自身に関連したプロセスおよびファイルを隠匿し、ユーザによる検出および削除を避けます。

情報漏えい

ワームは、感染コンピュータのインターネット利用状況を監視します。そしてユーザが以下の文字列を含むWebサイトを閲覧した場合、ユーザの個人情報を収集します。

• *&Password=*
• *&txtPassword=*
• *.alertpay.*/*login.aspx
• *.moneybookers.*/*login.pl
• *:2083/login*
• *:2086/login*
• *aol.*/*login.psp*
• *bigstring.*/*index.php*
• *dyndns*/account*
• *facebook.*/login.php*
• *fastmail.*/mail/*
• *fileserve.*/login*
• *FLN-Password=*
• *gmx.*/*FormLogin*
• *google.*/*ServiceLoginAuth*
• *hackforums.*/member.php
• *login.live.*/*post.srf*
• *login.yahoo.*/*login*
• *login_password=*
• *loginUserPassword=*
• *megaupload.*/*login
• *no-ip*/login*
• *pass=*
• *passwd=*
• *Passwd=*
• *password]=*
• *password=*
• *paypal.*/webscr?cmd=_login-submit*
• *runescape*/*weblogin*
• *screenname.aol.*/login.psp*
• *secure.logmein.*/*logincheck*
• *service=youtube*
• *steampowered*/login*
• *TextfieldPassword=*
• *twitter.com/sessions

ワームは、以下のWebサイトにおけるユーザの個人情報を収集する機能を備えています。

• AlertPay
• AOL
• BigString
• DynDNS
• Facebook
• Fastmail
• FileServe
• Gmail
• GMX
• Hackforums
• LogMeIn
• Megaupload
• Moneybookers
• NoIP
• PayPal
• Runescape
• Steam
• Twitter
• Windows Live
• Yahoo!
• YouTube

ワームは、ユーザが以下の文字列を含むWebサイトへのアクセスすることを妨げます。

• avast.
• avg.
• avira.
• bitdefender.
• bullguard.
• clamav.
• comodo.
• emsisoft.
• eset.
• fortinet.
• f-secure.
• garyshood.
• gdatasoftware.
• heck.tc
• iseclab.
• jotti.
• kaspersky.
• lavasoft.
• malwarebytes.
• mcafee.
• norman.
• norton.
• novirusthanks.
• onecare.live.
• onlinemalwarescanner.
• pandasecurity.
• precisesecurity.
• sophos.
• sunbeltsoftware.
• symantec
• threatexpert.
• trendmicro.
• virscan.
• virus.
• virusbuster.nprotect.
• viruschief.
• virustotal.
• webroot.

ワームは、自身の不正活動を実行するために以下のAPIをフックします。

• CopyFileA
• CopyFileW
• CreateFileA
• CreateFileW
• GetAddrInfo
• HttpSendRequestA
• HttpSendRequestW
• InternetWriteFile
• LdrLoadDll
• MoveFileA
• MoveFileW
• NtEnumerateValueKey
• NtQueryDirectoryFile
• NtResumeThread
• RegCreateKeyExA
• RegCreateKeyExW
• Send

ワームは、ユーザが以下のアプリケーションを使用することを妨げます。

• cmd.exe
• ipconfig.exe
• regedit.exe
• regsvr32.exe
• rundll32.exe
• verclsid.exe

その他

ワームは、以下のWebサイトにアクセスして感染コンピュータのIPアドレスを収集します。

• http://api.wipmania.com/

ワームは、リムーバブルドライブ内に自身のコピーへ誘導するショートカットファイル（拡張子LNK）を作成します。作成されたLNKファイルは、リムーバブルドライブ内にあるフォルダ名をファイル名として利用します。そしてオリジナルフォルダの属性を、隠しファイル属性に設定します。これにより、作成されたLNKファイルをユーザがクリックするよう誘導します。