解析者: Jennifer Gumban   

 プラットフォーム:

Windows

 危険度:
 ダメージ度:
 感染力:
 感染確認数:
 情報漏えい:

  • マルウェアタイプ:
    ワーム

  • 破壊活動の有無:
    なし

  • 暗号化:
    はい

  • 感染報告の有無 :
    はい

  概要

ワームは、リムーバブルドライブを介してコンピュータに侵入します。

ワームは、すべてのドライブ内に自身のコピーを作成します。作成されたコピーのファイル名として、上記のドライブ上に存在するフォルダ名を使用します。 ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。

ワームは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

ワームは、ルートキット機能を備えており、自身に関連したプロセスおよびファイルを隠匿し、ユーザによる検出および削除を避けます。

ワームは、Internet Explorer(IE)のゾーン設定を変更します。

  詳細

ファイルサイズ 182,272 bytes
タイプ EXE
メモリ常駐 はい
発見日 2015年2月26日

侵入方法

ワームは、リムーバブルドライブを介してコンピュータに侵入します。

インストール

ワームは、感染したコンピュータ内に以下のように自身のコピーを作成します。

  • %Application Data%\{random value}.exe
  • %Application Data%\Identities\{random characters}.exe
  • %COMMONPROGRAMFILES%\{random folder name}\{random characters}.exe

(註:%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\<ユーザ名>\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\<ユーザ名>\AppData\Roaming" です。.)

自動実行方法

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{random characters} = "%Application Data%\Identities\{random characters}.exe"

感染活動

ワームは、すべてのリムーバブルドライブ内に以下のフォルダを作成します。

  • {drive letter}:\RECYCLER

ワームは、すべてのリムーバブルドライブ内に以下として自身のコピーを作成します。

  • {drive letter}:\RECYCLER\{random characters}.exe

ワームは、すべてのドライブ内に自身のコピーを作成します。作成されたコピーのファイル名として、上記のドライブ上に存在するフォルダ名を使用します。

ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。

ワームは、以下のインスタントメッセンジャ(IM)を用いて、メッセージを送信します。このメッセージにはリンクが含まれており、リンク先のリモートサイトには、自身のコピーが組み込まれています。

  • MSN Messenger
  • Pidgin
  • Xchat
  • MIRC
  • Skype
  • Windows Live Communication

バックドア活動

ワームは、不正リモートユーザからの以下のコマンドを実行します。

  • Update itself
  • Download other files
  • Perfrom Slowloris, UDP, and SYN flooding
  • Send MSN Messenger messages
  • Insert iframe tags into HTML files
  • Visit a Web page
  • Create processes
  • Block DNS
  • Redirect domains
  • Steal login credentials
  • Log in to FTP sites

ワームは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

  • {BLOCKED}obzoomino123a{number}.com/direc/mail6/gate.php?id={numbers}
  • c.{BLOCKED}wahaifamelema{number}.com
  • c.{BLOCKED}k0vmin0kov{number}.com
  • c.e{BLOCKED}qw5ladies{number}.com
  • c.{BLOCKED}obohayawen{number}.com
  • c. {BLOCKED}ws5fkxx{number}.com
  • c.{BLOCKED}mall5gonowhaha42.com
  • c.{BLOCKED}oggeyyy4.com
  • c.{BLOCKED}1aa00.com
  • c.{BLOCKED}ao20000.com

ルートキット機能

ワームは、ルートキット機能を備えており、自身に関連したプロセスおよびファイルを隠匿し、ユーザによる検出および削除を避けます。

プロセスの終了

ワームは、感染コンピュータ上でプロセスが常駐されていることを確認した場合、以下のいずれかの文字列を含むプロセスまたはサービスを終了します。

  • Windows Defender
  • MpClient.dll
  • %ProgramW6432%
  • %ProgramFiles%
  • Windows Defender\MSASCui.exe
  • msseces.exe
  • MsMpEng.exe
  • MSASCui.exe
  • MpAsDesc.dll
  • MsMpLics.dll
  • avgidsagent.exe
  • avgwdsvc.exe
  • avgdiagex.exe
  • avgmfapx.exe
  • avgupd.exe
  • avgcfgex.exe
  • avguard.exe
  • avshadow.exe
  • avcenter.exe
  • update.dll
  • updaterc.dll
  • usrreq.exe
  • K*a*s*p*e*r*y*\*
  • ccsvchst.exe
  • symerr.exe
  • navw32.exe
  • avastui.exe
  • avast! Antivirus
  • AvastEmUpdate.exe
  • ashUpd.exe
  • zatray.exe
  • ForceField.exe
  • updating.dll
  • fshoster32.exe
  • PSUNMain.exe
  • PSUAService.exe
  • PSANHost.exe
  • PSUNScan.dll
  • SOFTWARE\Panda Software
  • pavjobs.exe
  • AVENGINE.exe
  • Upgrader.exe
  • Ad-Aware Service
  • adaware.exe
  • BullGuard.exe.manifest
  • BullGuardUpdate.exe
  • BullGuard.exe
  • BullGuardScanner.exe
  • BullGuardBhvScanner.exe
  • BullGuardUpdate2.exe
  • BgScan.exe
  • BgScanEngine.dll
  • updater.exe
  • Backup\RSD\RSSetup\updater.exe
  • RsTray.exe
  • RavMonD.exe
  • RsMgrSvc.exe
  • rsmain.exe
  • installpath
  • SOFTWARE\rising\RAV
  • RsScan.dll
  • RsTray.dll
  • mbamgui.exe
  • pctsGui.exe
  • pctsAuxs.exe
  • pctsSvc.exe
  • Update.exe
  • UpdateHlpr.dll
  • Definitions\vcore.dll
  • sbamui.exe
  • SBAMTray.exe
  • F-PROT Antivirus Tray application
  • updater_client_mod.dll
  • FProtTray.exe
  • Sophos AutoUpdate Monitor
  • SOFTWARE\Sophos\AutoUpdate
  • ALUpdate.exe
  • SOFTWARE\ArcaBit
  • update_tmp.exe
  • arcaclean.exe
  • Baidu Antivirus
  • BavUpdater.exe
  • DragonUpdater
  • SYSTEM\CurrentControlSet\Services\DragonUpdater
  • CLPSLA.exe
  • OutpostMonitor
  • op_mon.exe
  • SOFTWARE\Norman Data Defense Systems
  • K7TSUpdT.exe
  • SOFTWARE\Ikarus
  • guardxup.exe
  • ccupdate.exe
  • caupdate.dll
  • emsisoft anti-malware
  • a2guard.exe
  • a2start.exe
  • a2service.exe
  • AVKTray.exe
  • GDFirewallTray.exe
  • G Data AntiVirus Tray Application
  • G Data AntiVirus Tray
  • BLuPro.exe
  • BkavSystemServer.exe
  • BkavService.exe
  • LiveUpdate.dll
  • LiveConnect.dll
  • BaseFile\Bkav\LiveUpdate.dll
  • V3 Application
  • V3Lite.exe
  • ASDSvc.exe
  • autoup.exe
  • downloader.exe
  • updatesrv.exe
  • updatemgr.dll
  • x86\ekrn.exe
  • Trend Micro Titanium
  • uWinMgr.exe
  • coreServiceShell.exe
  • uiSeAgnt.exe
  • uiWatchDog.exe
  • Trend Micro\UniClient\
  • plugins\plugUpdater.dll
  • UiFrmwrk\uiUpdateTray.exe
  • Trend Micro Client Framework
  • InstallDir
  • SOFTWARE\TrendMicro\AMSP
  • coreFrameworkHost.exe
  • mcagent.exe
  • McSvHost.exe
  • McUICnt.exe
  • McPvTray.exe
  • SOFTWARE\McAfee\MSC
  • mcpltui_exe
  • Install Dir
  • Install Dir32
  • mcshell.exe
  • mcupdmgr.exe
  • mcupdate.exe
  • mcshield.exe
  • mcupdui.dll
  • McAPExe.exe
  • system_core_version
  • SOFTWARE\McAfee\SystemCore
  • VisthAux.exe
  • Software\Valve\Steam
  • Software\Microsoft\Terminal Server Client\Default
  • explorer.exe
  • SOFTWARE\Classes\origin
  • jagexcache
  • SOFTWARE\Blizzard Entertainment
  • .minecraft
  • League of Legends
  • Software\Skype
  • Software\Microsoft\VisualStudio
  • Software\VMware, Inc.
  • Navw32.exe
  • SysInspector.exe
  • avscan.exe
  • szInstallDir32
  • SOFTWARE\McAfee\SystemCore
  • mfefire.exe
  • wuauclt.exe
  • WerFault.exe

Webブラウザのホームページおよび検索ページの変更

ワームは、IEのゾーン設定を変更します。

ダウンロード活動

ワームは、以下のWebサイトから自身のコピーの更新版をダウンロードします。

  • http://{BLOCKED}1.11.83.7/nut40a298.exe
  • http://{BLOCKED}1.11.83.7/and40a298.exe
  • http://{BLOCKED}1.11.83.7/ng40a298.exe

その他

ワームは、以下のWebサイトにアクセスしてインターネット接続を確認します。

  • api.wipmania.com

  対応方法

対応検索エンジン: 9.750
初回 VSAPI パターンバージョン 11.504.04
初回 VSAPI パターンリリース日 2012年4月26日
VSAPI OPR パターンバージョン 11.505.00
VSAPI OPR パターンリリース日 2012年4月27日

手順 1

Windows XP、Windows Vista および Windows 7 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

手順 2

このマルウェアもしくはアドウェア等の実行により、手順中に記載されたすべてのファイル、フォルダおよびレジストリキーや値がコンピュータにインストールされるとは限りません。インストールが不完全である場合の他、オペレーティングシステム(OS)の条件によりインストールがされない場合が考えられます。手順中に記載されたファイル/フォルダ/レジストリ情報が確認されない場合、該当の手順の操作は不要ですので、次の手順に進んでください。

手順 3

コンピュータを通常モードで再起動し、最新のバージョン(エンジン、パターンファイル)を導入したウイルス対策製品を用い、「WORM_DORKBOT.XXPX」と検出したファイルの検索を実行してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。

手順 4

このレジストリ値を削除します。

[ 詳細 ]

警告:レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。

  • In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
    • {random characters} = "%Application Data%\Identities\{random characters}.exe"

手順 5

以下のフォルダを検索し削除します。

[ 詳細 ]
フォルダが隠しフォルダ属性に設定されている場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。  
  • {drive letter}:\RECYCLER

手順 6

Windowsをセーフモードで再起動します。

[ 詳細 ]


ご利用はいかがでしたか? アンケートにご協力ください