WORM_DORKBOT.EMS

ワームは、リムーバブルドライブを介してコンピュータに侵入します。 ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。

ワームは、IRCサーバに接続します。 ワームは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

侵入方法

ワームは、リムーバブルドライブを介してコンピュータに侵入します。

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ワームは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

• %Application Data%\{random file name}.exe

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

ワームは、以下のファイルを作成します。

• {drive}:\Desktop.ini
• {drive}:\{folder name}.lnk

ワームは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• byYStt

ワームは、リモートスレッドを組み込み、システムのプロセスに常駐します。

• explorer.exe

自動実行方法

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{random file name} = "%Application Data%\{random file name}.exe"

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Run
{random file name} = "%Application Data%\{random file name}.exe"

感染活動

ワームは、すべてのリムーバブルドライブ内に以下のフォルダを作成します。

• {drive}:\byYstt

ワームは、すべてのリムーバブルドライブ内に以下として自身のコピーを作成します。

• {drive}:\byYstt\byYStt.exe

ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。

上記INFファイルには、以下の文字列が含まれています。

{garbage codes}
[autorun]
{garbage codes}
open={drive}:\byYstt\byYStt.exe
{garbage codes}
icon=%SystemRoot%\system32\SHELL32.dll,7
{garbage codes}
UseAutoPlay=1
{garbage codes}
shell\Explore\Command={drive}:\byYstt\byYStt.exe
{garbage codes}
shell\open\Command={drive}:\byYstt\byYStt.exe
{garbage codes}

バックドア活動

ワームは、以下のいずれかのIRCサーバに接続します。

• sp.{BLOCKED}p.kz

ワームは、以下のいずれかのIRCチャンネルに接続します。

• #id

ワームは、不正リモートユーザからの以下のコマンドを実行します。

• Block DNS
• Create processes
• Download other files
• Insert iFrame tags into HTML files
• Join an IRC channel
• Log in to FTP sites
• Perform Slowloris, UDP, and SYN flooding
• Run Reverse Socks4 proxy server
• Send MSN Messenger messages
• Steal login credentials
• Update itself
• Visit a web site