WORM_DORKBOT.XXPX

ワームは、リムーバブルドライブを介してコンピュータに侵入します。

ワームは、すべてのドライブ内に自身のコピーを作成します。作成されたコピーのファイル名として、上記のドライブ上に存在するフォルダ名を使用します。 ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。

ワームは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

ワームは、ルートキット機能を備えており、自身に関連したプロセスおよびファイルを隠匿し、ユーザによる検出および削除を避けます。

ワームは、Internet Explorer（IE）のゾーン設定を変更します。

侵入方法

ワームは、リムーバブルドライブを介してコンピュータに侵入します。

インストール

ワームは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Application Data%\{random value}.exe
• %Application Data%\Identities\{random characters}.exe
• %COMMONPROGRAMFILES%\{random folder name}\{random characters}.exe

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

自動実行方法

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{random characters} = "%Application Data%\Identities\{random characters}.exe"

感染活動

ワームは、すべてのリムーバブルドライブ内に以下のフォルダを作成します。

• {drive letter}:\RECYCLER

ワームは、すべてのリムーバブルドライブ内に以下として自身のコピーを作成します。

• {drive letter}:\RECYCLER\{random characters}.exe

ワームは、すべてのドライブ内に自身のコピーを作成します。作成されたコピーのファイル名として、上記のドライブ上に存在するフォルダ名を使用します。

ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。

ワームは、以下のインスタントメッセンジャ（IM）を用いて、メッセージを送信します。このメッセージにはリンクが含まれており、リンク先のリモートサイトには、自身のコピーが組み込まれています。

• MSN Messenger
• Pidgin
• Xchat
• MIRC
• Skype
• Windows Live Communication

バックドア活動

ワームは、不正リモートユーザからの以下のコマンドを実行します。

• Update itself
• Download other files
• Perfrom Slowloris, UDP, and SYN flooding
• Send MSN Messenger messages
• Insert iframe tags into HTML files
• Visit a Web page
• Create processes
• Block DNS
• Redirect domains
• Steal login credentials
• Log in to FTP sites

ワームは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• {BLOCKED}obzoomino123a{number}.com/direc/mail6/gate.php?id={numbers}
• c.{BLOCKED}wahaifamelema{number}.com
• c.{BLOCKED}k0vmin0kov{number}.com
• c.e{BLOCKED}qw5ladies{number}.com
• c.{BLOCKED}obohayawen{number}.com
• c. {BLOCKED}ws5fkxx{number}.com
• c.{BLOCKED}mall5gonowhaha42.com
• c.{BLOCKED}oggeyyy4.com
• c.{BLOCKED}1aa00.com
• c.{BLOCKED}ao20000.com

ルートキット機能

ワームは、ルートキット機能を備えており、自身に関連したプロセスおよびファイルを隠匿し、ユーザによる検出および削除を避けます。

プロセスの終了

ワームは、感染コンピュータ上でプロセスが常駐されていることを確認した場合、以下のいずれかの文字列を含むプロセスまたはサービスを終了します。

• Windows Defender
• MpClient.dll
• %ProgramW6432%
• %ProgramFiles%
• Windows Defender\MSASCui.exe
• msseces.exe
• MsMpEng.exe
• MSASCui.exe
• MpAsDesc.dll
• MsMpLics.dll
• avgidsagent.exe
• avgwdsvc.exe
• avgdiagex.exe
• avgmfapx.exe
• avgupd.exe
• avgcfgex.exe
• avguard.exe
• avshadow.exe
• avcenter.exe
• update.dll
• updaterc.dll
• usrreq.exe
• K*a*s*p*e*r*y*\*
• ccsvchst.exe
• symerr.exe
• navw32.exe
• avastui.exe
• avast! Antivirus
• AvastEmUpdate.exe
• ashUpd.exe
• zatray.exe
• ForceField.exe
• updating.dll
• fshoster32.exe
• PSUNMain.exe
• PSUAService.exe
• PSANHost.exe
• PSUNScan.dll
• SOFTWARE\Panda Software
• pavjobs.exe
• AVENGINE.exe
• Upgrader.exe
• Ad-Aware Service
• adaware.exe
• BullGuard.exe.manifest
• BullGuardUpdate.exe
• BullGuard.exe
• BullGuardScanner.exe
• BullGuardBhvScanner.exe
• BullGuardUpdate2.exe
• BgScan.exe
• BgScanEngine.dll
• updater.exe
• Backup\RSD\RSSetup\updater.exe
• RsTray.exe
• RavMonD.exe
• RsMgrSvc.exe
• rsmain.exe
• installpath
• SOFTWARE\rising\RAV
• RsScan.dll
• RsTray.dll
• mbamgui.exe
• pctsGui.exe
• pctsAuxs.exe
• pctsSvc.exe
• Update.exe
• UpdateHlpr.dll
• Definitions\vcore.dll
• sbamui.exe
• SBAMTray.exe
• F-PROT Antivirus Tray application
• updater_client_mod.dll
• FProtTray.exe
• Sophos AutoUpdate Monitor
• SOFTWARE\Sophos\AutoUpdate
• ALUpdate.exe
• SOFTWARE\ArcaBit
• update_tmp.exe
• arcaclean.exe
• Baidu Antivirus
• BavUpdater.exe
• DragonUpdater
• SYSTEM\CurrentControlSet\Services\DragonUpdater
• CLPSLA.exe
• OutpostMonitor
• op_mon.exe
• SOFTWARE\Norman Data Defense Systems
• K7TSUpdT.exe
• SOFTWARE\Ikarus
• guardxup.exe
• ccupdate.exe
• caupdate.dll
• emsisoft anti-malware
• a2guard.exe
• a2start.exe
• a2service.exe
• AVKTray.exe
• GDFirewallTray.exe
• G Data AntiVirus Tray Application
• G Data AntiVirus Tray
• BLuPro.exe
• BkavSystemServer.exe
• BkavService.exe
• LiveUpdate.dll
• LiveConnect.dll
• BaseFile\Bkav\LiveUpdate.dll
• V3 Application
• V3Lite.exe
• ASDSvc.exe
• autoup.exe
• downloader.exe
• updatesrv.exe
• updatemgr.dll
• x86\ekrn.exe
• Trend Micro Titanium
• uWinMgr.exe
• coreServiceShell.exe
• uiSeAgnt.exe
• uiWatchDog.exe
• Trend Micro\UniClient\
• plugins\plugUpdater.dll
• UiFrmwrk\uiUpdateTray.exe
• Trend Micro Client Framework
• InstallDir
• SOFTWARE\TrendMicro\AMSP
• coreFrameworkHost.exe
• mcagent.exe
• McSvHost.exe
• McUICnt.exe
• McPvTray.exe
• SOFTWARE\McAfee\MSC
• mcpltui_exe
• Install Dir
• Install Dir32
• mcshell.exe
• mcupdmgr.exe
• mcupdate.exe
• mcshield.exe
• mcupdui.dll
• McAPExe.exe
• system_core_version
• SOFTWARE\McAfee\SystemCore
• VisthAux.exe
• Software\Valve\Steam
• Software\Microsoft\Terminal Server Client\Default
• explorer.exe
• SOFTWARE\Classes\origin
• jagexcache
• SOFTWARE\Blizzard Entertainment
• .minecraft
• League of Legends
• Software\Skype
• Software\Microsoft\VisualStudio
• Software\VMware, Inc.
• Navw32.exe
• SysInspector.exe
• avscan.exe
• szInstallDir32
• SOFTWARE\McAfee\SystemCore
• mfefire.exe
• wuauclt.exe
• WerFault.exe

Webブラウザのホームページおよび検索ページの変更

ワームは、IEのゾーン設定を変更します。

ダウンロード活動

ワームは、以下のWebサイトから自身のコピーの更新版をダウンロードします。

• http://{BLOCKED}1.11.83.7/nut40a298.exe
• http://{BLOCKED}1.11.83.7/and40a298.exe
• http://{BLOCKED}1.11.83.7/ng40a298.exe

その他

ワームは、以下のWebサイトにアクセスしてインターネット接続を確認します。

• api.wipmania.com