WORM_DORKBOT.KK

感染経路：リムーバブルドライブを介した感染活動およびインスタントメッセンジャ（IM）を介したスパム活動

ワームは、リムーバブルドライブを介してコンピュータに侵入します。 ワームは、他のマルウェアに作成され、コンピュータに侵入します。

ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。

ワーム マルウェアは、自身（コンピュータに侵入して最初に自身のコピーを作成した ワーム ）を削除します。

侵入方法

ワームは、リムーバブルドライブを介してコンピュータに侵入します。

ワームは、他のマルウェアに作成され、コンピュータに侵入します。

インストール

ワームは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %User Profile%\Application Data\{random characters}.exe

(註：%User Profile% フォルダは、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞"、Windows NTでは、"C:\WINNT\Profiles\＜ユーザ名＞"、Windows 2000, XP, Server 2003の場合は、"C:\Documents and Settings\＜ユーザ名＞" です。)

自動実行方法

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{malware file name} = "%User Profile%\Application Data\{malware file name}.exe"

感染活動

ワームは、すべてのリムーバブルドライブ内に以下のフォルダを作成します。

• {drive letter}:\RECYCLER

ワームは、すべてのリムーバブルドライブ内に以下として自身のコピーを作成します。

• {drive letter}:\RECYCLER\{random characters}.exe

ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。

上記INFファイルには、以下の文字列が含まれています。

[AutoRun]
;{garbage characters}
shellexecute=RECYCLER\{malware file name}.exe
;{garbage characters}
icon=shell32.dll,7
;{garbage characters}
shell\open\command=RECYCLER\{malware file name}.exe
;{garbage characters}
action=Open folder to view files
;{garbage characters}
shell\explore\command=RECYCLER\{malware file name}.exe
;{garbage characters}
useautoplay=1

ワームは、以下のインスタントメッセンジャ（IM）を用いて、メッセージを送信します。このメッセージにはリンクが含まれており、リンク先のリモートサイトには、自身のコピーが組み込まれています。

• Windows Live Communicator
• MSN Messenger
• Pidgin
• Xchat
• mIRC

バックドア活動

ワームは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• ng.{BLOCKED}oan.com
• ng.{BLOCKED}opperz11.com
• ng.{BLOCKED}ousez11.com
• ng.{BLOCKED}allone.com
• ng.{BLOCKED}ketbaby.com

その他

ワームは、以下のWebサイトにアクセスして感染コンピュータのIPアドレスを収集します。

• http://api.wipmania.com/

ワーム は、自身（コンピュータに侵入して最初に自身のコピーを作成した ワーム ）を削除します。

ワームは、感染したコンピュータのインターネット使用状況を監視します。ユーザが以下の文字列を含むWebサイトを閲覧した場合、ワームは、ユーザの認証情報を収集します。

• *officebanking.cl/*login.asp*
• *secure.logmein.*/*logincheck*
• *megaupload.*/*login
• loginUserPassword
• loginUserName
• *loginUserPassword=*
• *fileserve.*/login*
• session[password]
• session[username_or_email]
• *password]=*
• *twitter.com/sessions
• *:2086/login*
• *:2083/login*
• Password
• EmailName
• *&Password=*
• *.alertpay.*/*login.aspx
• txtPassword
• txtEmail
• *&txtPassword=*
• *.moneybookers.*/*login.pl
• *runescape*/*weblogin*
• *dyndns*/account*
• *&password=*
• *no-ip*/login*
• *steampowered*/login*
• quick_password
• quick_username
• username
• *hackforums.*/member.php
• email
• *facebook.*/login.php*
• *login.yahoo.*/*login*
• passwd
• login
• *passwd=*
• *login.live.*/*post.srf*
• TextfieldPassword
• TextfieldEmail
• *TextfieldPassword=*
• *gmx.*/*FormLogin*
• *Passwd=*
• FLN-Password
• FLN-UserName
• *FLN-Password=*
• *fastmail.*/mail/*
• *pass=*
• *bigstring.*/*index.php*
• screenname
• *screenname.aol.*/login.psp*
• password
• loginId
• *password=*
• *aol.*/*login.psp*
• Passwd
• Email
• *service=youtube*
• *google.*/*ServiceLoginAuth*
• login_password
• login_email
• *login_password=*
• *paypal.*/webscr?cmd=_login-submit*

ワームは、以下のWebサイトにおいて用いられるユーザ認証情報を収集します。

• AlertPay
• AOL
• BigString
• DynDNS
• Facebook
• Fastmail
• FileServe
• Gmail
• Hackforums
• LogMeIn
• Megaupload
• Moneybookers
• No-IP
• OfficeBanking
• PayPal
• Runescape
• Steam
• Twitter
• Yahoo
• YouTube

ワームは、以下のバックドア機能を備えます。

• Domain Name System (DNS)のブロック
• プロセスの追加
• 他のファイルのダウンロード
• "iframe" タグをHTMLファイルに埋め込む
• IRCチャンネルへの参加
• FTPサイトへのログイン
• UDPフラッドやSYNフラッド、Slowloris攻撃の実行
• 「Reverse Socks4」プロキシサーバの実行
• インスタントメッセンジャ「MSNメッセンジャー」のメッセージの送信
• ログイン認証情報の収集
• 自身の更新
• Webサイトの閲覧
• 以下のシステムファイルの変更
• ipconfig.exe
• verclsid.exe
• regedit.exe
• rundll32.exe
• cmd.exe
• regsvr32.exe

ワームは、ユーザが以下の文字列を含むWebサイトへアクセスすることを妨害します。

• avast.
• avira.
• bitdefender.
• bullguard.
• clamav.
• comodo.
• emsisoft.
• eset.
• f-secure.
• fortinet.
• garyshood.
• gdatasoftware.
• heck.tc
• iseclab.
• jotti.
• kaspersky.
• lavasoft.
• malwarebytes.
• mcafee.
• norman.
• norton.
• novirusthanks.
• onecare.live.
• onlinemalwarescanner.
• pandasecurity.
• precisesecurity.
• sophos.
• sunbeltsoftware.
• symantec
• threatexpert.
• trendmicro.
• virscan.
• virus.
• virusbuster.nprotect.
• viruschief.
• virustotal.
• webroot.

ワームは、自身を隠ぺいしたり、自身の不正活動を実行したりするために以下のAPIをフックします。

• CopyFileA
• CopyFileW
• CreateFileA
• CreateFileW
• DeleteFileA
• DeleteFileW
• DnsQuery_A
• DnsQuery_W
• GetAddrInfoW
• HttpSendRequestA
• HttpSendRequestW
• InternetWriteFile
• LdrEnumerateLoadedModules
• LdrGetDllHandle
• LdrGetProcedureAddress
• LdrLoadDll
• MoveFileA
• MoveFileW
• NtEnumerateValueKey
• NtQueryDirectoryFile
• NtQueryInformationProcess
• NtQueryInformationThread
• NtQuerySystemInformation
• NtQueryVirtualMemory
• PR_Write
• RegCreateKeyExA
• RegCreateKeyExW
• RtlAnsiStringToUnicodeString
• URLDownloadToFileA
• URLDownloadToFileW

ワームは、リムーバブルドライブ内の自身のコピーへのショートカットファイルを作成します。作成されたショートカットファイルは、リムーバブルドライブ内のフォルダ名をファイル名として利用します。そして既存のフォルダを隠しファイルの属性に設定することで、作成したリンクファイルがクリックされるように誘導します。