WORM_DORKBOT.XXSH

ワームは、ユーザが特定の文字列を含むWebサイトを訪問すると、ユーザの個人情報を収集するために感染コンピュータのブラウザ活動を監視します。ワームは、特定のブラウザを監視します。ワームは、バックドア機能を備えています。ワームは特定のシステムファイルを変更します。ワームは、自身を隠ぺいし、不正活動を推進するために特定のAPIをフックします。

ワームは、リムーバルドライブ内の自身のコピーに誘導するショートカットファイルを作成します。作成された.LNKファイルは、ファイル名にリムーバルドライブ内のファイル名を使用します。その後、元のフォルダを隠し属性に設定することにより、ユーザに作成したLNKファイルをクリックさせようとします。

ワームは、リムーバブルドライブを介してコンピュータに侵入します。 ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ワームは、すべての実行中プロセスに組み込まれ、システムのプロセスに常駐します。

ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。

ワームは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

ワームは、特定の文字列を含むセキュリティ対策関連Webサイトが閲覧できないようにします。 ワーム マルウェアは、自身（コンピュータに侵入して最初に自身のコピーを作成した ワーム ）を削除します。

侵入方法

ワームは、リムーバブルドライブを介してコンピュータに侵入します。

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ワームは、異なるファイル名を用いて以下のフォルダ内に自身のコピーを作成します。

• %Application Data%\{random characters}.exe

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

ワームは、すべての実行中プロセスに組み込まれ、システムのプロセスに常駐します。

ワームは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• 11afb2c9-Mutex

自動実行方法

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{filename of dropped copy} = "%Application Data%\{filename of dropped copy}.exe"

感染活動

ワームは、すべてのリムーバブルドライブ内に以下のフォルダを作成します。

• {drive letter}:\RECYCLER

ワームは、すべてのリムーバブルドライブ内に以下として自身のコピーを作成します。

• {drive letter}:\RECYCLER\{random characters}.exe

ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。

上記INFファイルには、以下の文字列が含まれています。

[AutoRun]
;{garbage characters}
shellexecute=RECYCLER\{file name of malware copy}.exe
;{garbage characters}
icon=shell32.dll,7
;{garbage characters}
shell\open\command=RECYCLER\{file name of malware copy}.exe
;{garbage characters}
action=Open folder to view files
;{garbage characters}
shell\explore\command=RECYCLER\{file name of malware copy}.exe
;{garbage characters}
useautoplay=1

ワームは、以下のインスタントメッセンジャ（IM）を用いて、メッセージを送信します。このメッセージにはリンクが含まれており、リンク先のリモートサイトには、自身のコピーが組み込まれています。

• Windows Live Communicator
• MSN Messenger
• Pidgin
• Windows Messenger

バックドア活動

ワームは、不正リモートユーザからの以下のコマンドを実行します。

• Join an IRC channel
• Send private messages on IRC channel joined
• Update self
• Download arbitrary files
• Send MSN Messenger messages
• Insert iframe tags into HTML files
• Visit arbitrary website
• Block arbitrary DNS
• Steal login credentials
• Log in to FTP sites
• Create arbitrary processes
• Can modifies the following system files:
  • ipconfig.exe
  • verclsid.exe
  • regedit.exe
  • rundll32.exe
  • cmd.exe
  • regsvr32.exe
• Perform DDOS attack

ワームは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• {BLOCKED}.{BLOCKED}ooq.com
• {BLOCKED}.{BLOCKED}.166.33

情報漏えい

ワームは、以下のWebサイトを対象とします。

• IKnowThatGirl
• YouPorn
• Brazzers
• Bcointernacional
• Webnames
• clave
• Dotster
• Moniker
• Namecheap
• Godaddy
• Alertpay
• Netflix
• Thepiratebay
• Torrentleech
• Sms4file
• Whatcd
• Letitbit
• Filesonic
• Speedyshare
• Uploaded
• Uploading
• Fileserve
• Hotfile
• Netload
• Freakshare
• Mediafire
• Sendspace
• Megaupload
• Depositfiles
• OfficeBanking
• LogMeIn
• Twitter
• Moneybookers
• Runescape
• DynDNS
• Steam
• Hackforums
• Facebook
• Yahoo
• Gmail
• Fastmail
• BigString
• YouTube
• AOL
• PayPal
• 4shared
• 1and1
• Vip-file

その他

ワームは、以下のWebサイトにアクセスして感染コンピュータのIPアドレスを収集します。

• api.wipmania.com

ワームは、以下の文字列を含むセキュリティ対策関連Webサイトが閲覧できないようにします。

• webroot
• fortinet
• virusbuster
• nprotect
• gdatasoftware
• virus
• precisesecurity
• lavasoft
• heck.tc
• emsisoft
• onlinemalwarescanner
• onecare.live
• f-secure
• bullguard
• clamav
• pandasecurity
• sophos
• malwarebytes
• sunbeltsoftware
• norton
• norman
• mcafee
• symantec
• comodo
• avast
• avira
• bitdefender
• eset
• kaspersky
• trendmicro
• iseclab
• virscan
• garyshood
• viruschief
• jotti
• threatexpert
• novirusthanks
• virustotal

ワーム は、自身（コンピュータに侵入して最初に自身のコピーを作成した ワーム ）を削除します。

ワームは、不正リモートユーザからの以下のコマンドを実行します。

• IRCチャンネルへの接続
• 接続したIRCチャンネル上でプライベートメッセージを送信
• 自身の更新
• 任意のファイルのダウンロード
• インスタントメッセンジャ「MSNメッセンジャー」を利用してメッセージの送信
• HTMLファイルへiframe タグを挿入
• 任意のWebサイトを訪問
• 任意のDNSをブロック
• ログイン認証情報の収集
• FTPサイトへログイン
• 任意のプロセスを作成
• 以下のシステムファイルの変更が可能
  • ipconfig.exe
  • verclsid.exe
  • regedit.exe
  • rundll32.exe
  • cmd.exe
  • regsvr32.exe
• 「分散型サービス拒否（DDoS）攻撃」の実行

ワームは以下を実行します。

• ワームは、ユーザが以下の文字列を含むWebサイトを訪問すると、ユーザの個人情報を収集するために感染コンピュータのブラウザ活動 を監視します。
  • login[password]
  • login[username]
  • *members*.iknowthatgirl*/members*
  • *youporn.*/login*
  • *members.brazzers.com*
  • numeroTarjeta
  • *clave=*
  • *bcointernacional*login*
  • *:2222/CMD_LOGIN*
  • *whcms*dologin*
  • *:2086/login*
  • *:2083/login*
  • *:2082/login*
  • *webnames.ru/*user_login*
  • *dotster.com/*login*
  • loginid
  • *enom.com/login*
  • login.Pass
  • login.User
  • *login.Pass=*
  • *1and1.com/xml/config*
  • token
  • *moniker.com/*Login*
  • LoginPassword
  • LoginUserName
  • *LoginPassword=*
  • *namecheap.com/*login*
  • loginname
  • *godaddy.com/login*
  • Password
  • EmailName
  • *Password=*
  • *alertpay.com/login*
  • *netflix.com/*ogin*
  • *thepiratebay.org/login*
  • *torrentleech.org/*login*
  • *vip-file.com/*/signin-do*
  • *pas=*
  • *sms4file.com/*/signin-do*
  • *letitbit.net*
  • *what.cd/login*
  • *oron.com/login*
  • *filesonic.com/*login*
  • *speedyshare.com/login*
  • *pw=*
  • *uploaded.to/*login*
  • *uploading.com/*login*
  • loginUserPassword
  • loginUserName
  • *loginUserPassword=*
  • *fileserv.com/login*
  • *hotfile.com/login*
  • *4shared.com/login*
  • txtpass
  • txtuser
  • *txtpass=*
  • *netload.in/index*
  • *freakshare.com/login*
  • login_pass
  • *login_pass=*
  • *mediafire.com/*login*
  • *sendspace.com/login*
  • *megaupload.*/*login*
  • *depositfiles.*/*/login*
  • userid
  • *signin.ebay*SignIn
  • *officebanking.cl/*login.asp*
  • *secure.logmein.*/*logincheck*
  • session[password]
  • session[username_or_email]
  • *password]=*
  • *twitter.com/sessions
  • txtPassword
  • txtEmail
  • *&txtPassword=*
  • *.moneybookers.*/*login.pl
  • *runescape*/*weblogin*
  • *dyndns*/account*
  • *&password=*
  • *no-ip*/login*
  • *steampowered*/login*
  • quick_password
  • quick_username
  • username
  • *hackforums.*/member.php
  • email
  • *facebook.*/login.php*
  • *login.yahoo.*/*login*
  • passwd
  • login
  • *passwd=*
  • *login.live.*/*post.srf*
  • TextfieldPassword
  • TextfieldEmail
  • *TextfieldPassword=*
  • *gmx.*/*FormLogin*
  • *Passwd=*
  • FLN-Password
  • FLN-UserName
  • *FLN-Password=*
  • *fastmail.*/mail/*
  • *pass=*
  • *bigstring.*/*index.php*
  • screenname
  • *screenname.aol.*/login.psp*
  • password
  • loginId
  • *password=*
  • *aol.*/*login.psp*
  • Passwd
  • Email
  • *service=youtube*
  • *google.*/*ServiceLoginAuth*
  • login_password
  • login_email
  • *login_password=*
  • *paypal.*/webscr?cmd=_login-submit*
• ワームは、以下のURLのWebサイト上のコメントボックスに投稿されたメッセージを監視し収集します。
  • comment-text
  • *bebo.*/c/home/ajax_post_lifestream_comment
  • bebo Lifestream
  • *bebo.*/c/profile/comment_post.json
  • bebo Comment
  • Message
  • *bebo.*/mail/MailCompose.jsp*
  • bebo Message
  • *friendster.*/sendmessage.php*
  • Friendster Message
  • comment
  • Friendster Comment
  • shoutout
  • *friendster.*/rpc.php
  • Friendster Shoutout
  • *vkontakte.ru/mail.php
  • vkontakte Message
  • *vkontakte.ru/wall.php
  • vkontakte Wall
  • message
  • *vkontakte.ru/api.php
  • vkontakte Chat
  • *twitter.*/*direct_messages/new*
  • Twitter Message
  • *twitter.*/*status*/update*
  • Twitter Tweet
  • status
  • *facebook.*/ajax/*MessageComposerEndpoint.php*
  • Facebook Message
  • msg_text
  • *facebook.*/ajax/chat/send.php*
  • Facebook IM
• ワームは、リムーバルドライブ内の自身のコピーに誘導するショートカットファイルを作成します。作成された.LNKファイルは、ファイル名にリムーバルドライブ内のファイル名を使用します。その後、元のフォルダを隠し属性に設定することにより、ユーザに作成したLNKファイルをクリックさせようとします。


• ワームは以下のブラウザを監視します。
  • Flock
  • Opera
  • Google Chrome
  • Internet Explorer
  • Mozilla Firefox

マルウェアは、ルートキット機能を備えていません。

マルウェアは、脆弱性を利用した感染活動を行いません。