WORM_DORKBOT.P

ワームは、感染リムーバブルドライブを接続することにより、コンピュータに侵入します。 ワームは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。

ワームは、すべての実行中プロセスに組み込まれ、システムのプロセスに常駐します。

ワームは、すべてのリムーバブルドライブ内に自身のコピーを作成します。 ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。

ワームは、IRCサーバに接続します。

ワームは、特定のフラッド攻撃を用いて、感染コンピュータ上から「サービス拒否（DoS）攻撃」を実行します。

ワームは、特定の文字列を含むセキュリティ対策関連Webサイトが閲覧できないようにします。

侵入方法

ワームは、感染リムーバブルドライブを接続することにより、コンピュータに侵入します。

ワームは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。

インストール

ワームは、以下のコンポーネントファイルを作成します。

• {removable drive}\recycler.lnk

ワームは、以下のフォルダを作成します。

• {removable drive}\RECYCLER

ワームは、すべての実行中プロセスに組み込まれ、システムのプロセスに常駐します。

ワームは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• 1LSJuVlZPsaJ3FWT

自動実行方法

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{Malware File Name} = {Malware Path and File Name}

感染活動

ワームは、すべてのリムーバブルドライブ内に自身のコピーを作成します。

ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。

上記INFファイルには、以下の文字列が含まれています。

[autorun]
;{Random String}
shellexecute={Malware Path and File Name}
;{Random String}
action=Open folder to view files
;{Random String}
useautoplay=1
;{Random String}
icon=shell32.dll,7
;{Random String}
shell\explore\command={Malware Path and File Name}
;{Random String}
shell\open\command={Malware Path and File Name}

ワームは、以下のインスタントメッセンジャ（IM）を用いて標的とする受信者に自身のコピーを送信します。

• MSN
• Pidgin
• Windows Live Messenger

バックドア活動

ワームは、以下のいずれかのIRCサーバに接続します。

• {BLOCKED}enial.com
• {BLOCKED}ebsite.com
• {BLOCKED}ctronix.com
• {BLOCKED}s.com

Denial of Service（DoS）攻撃

ワームは、以下のフラッド攻撃を用いて、感染コンピュータ上からDoS攻撃を実行します。

• Slowloris Flood
• UDP Flood
• SYN Flood

その他

ワームは、以下のWebサイトにアクセスして感染コンピュータのIPアドレスを収集します。

• http://api.wipmania.com

ワームは、以下の文字列を含むセキュリティ対策関連Webサイトが閲覧できないようにします。

• avast.
• avira.
• bitdefender.
• bullguard.
• clamav.
• comodo.
• emsisoft.
• eset.
• f-secure.
• fortinet.
• garyshood.
• gdatasoftware.
• heck.tc
• iseclab.
• jotti.
• kaspersky.
• lavasoft.
• malwarebytes.
• mcafee.
• norman.
• norton.
• novirusthanks.
• onecare.live.
• onlinemalwarescanner.
• pandasecurity.
• precisesecurity.
• sophos.
• sunbeltsoftware.
• symantec
• threatexpert.
• trendmicro.
• virscan.
• virus.
• virusbuster.nprotect.
• viruschief.
• virustotal.
• webroot.
• avast.
• avira.
• bitdefender.
• bullguard.
• clamav.
• comodo.
• emsisoft.
• eset.
• f-secure.
• fortinet.
• garyshood.
• gdatasoftware.
• heck.tc
• iseclab.
• jotti.
• kaspersky.
• lavasoft.
• malwarebytes.
• mcafee.
• norman.
• norton.
• novirusthanks.
• onecare.live.
• onlinemalwarescanner.
• pandasecurity.
• precisesecurity.
• sophos.
• sunbeltsoftware.
• symantec
• threatexpert.
• trendmicro.
• virscan.
• virus.
• virusbuster.nprotect.
• viruschief.
• virustotal.
• webroot.