WORM_DORKBOT.XXSN

ワームは、ユーザが特定の文字列を含むWebサイトを訪問すると、ユーザの個人情報を収集するために感染コンピュータのブラウザ活動を監視します。ワームは、特定のブラウザを監視します。ワームは、バックドア機能を備えています。ワームは特定のシステムファイルを変更します。ワームは、自身を隠ぺいし、不正活動を推進するために特定のAPIをフックします。

ワームは、リムーバルドライブ内の自身のコピーに誘導するショートカットファイルを作成します。作成された.LNKファイルは、ファイル名にリムーバルドライブ内のファイル名を使用します。その後、元のフォルダを隠し属性に設定することにより、ユーザに作成したLNKファイルをクリックさせようとします。

ワームは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

ワームは、特定の文字列を含むセキュリティ対策関連Webサイトが閲覧できないようにします。 ワーム マルウェアは、自身（コンピュータに侵入して最初に自身のコピーを作成した ワーム ）を削除します。

侵入方法

ワームは、以下の方法でコンピュータに侵入します。

• It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.
• It arrives via removable drives.
• It may arrive through accessing malicious IFRAME tags inserted in HTML pages.
• It arrives via Instant Messaging and Social Networking sites

インストール

ワームは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Application Data%\Microsoft\Windows\Themes\{random filename}.exe
• %Application Data%\WindowsUpdate\Updater.exe
• %Application Data%\Update\Explorer.exe
• %Application Data%\Update\Update.exe
• %Application Data%\c731200

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

ワームは、以下のコンポーネントファイルを作成します。

• %User Temp%\c731200

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

ワームは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• -9caf4c3fMutex

自動実行方法

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Windows Update Installer = "%Application Data%\WindowsUpdate\Updater.exe"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{random filename} = "%Application Data%\Microsoft\Windows\Themes\{random filename}.exe"

感染活動

ワームは、すべてのリムーバブルドライブ内に以下として自身のコピーを作成します。

• {removable drive letter}:\{random filename}.exe

ワームは、以下のインスタントメッセンジャ（IM）を用いて、メッセージを送信します。このメッセージにはリンクが含まれており、リンク先のリモートサイトには、自身のコピーが組み込まれています。

• Pidgin
• Windows Live Messenger
• MSN Messenger
• Windows Messenger

バックドア活動

ワームは、不正リモートユーザからの以下のコマンドを実行します。

• Join an IRC channel
• Send private messages on IRC channel joined
• Update self
• Download arbitrary files
• Send MSN Messenger messages
• Insert iframe tags into HTML files
• Visit arbitrary website
• Block arbitrary DNS
• Steal login credentials
• Log in to FTP sites
• Create arbitrary processes
• Can modifies the following system files:
  • ipconfig.exe
  • verclsid.exe
  • regedit.exe
  • rundll32.exe
  • cmd.exe
  • regsvr32.exe
• Perform DDOS attack

ワームは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• {BLOCKED}.{BLOCKED}.28.198:3720
• {BLOCKED}.{BLOCKED}.99.243:3720
• n.{BLOCKED}ahr.com
• n.{BLOCKED}hcr.com
• n.{BLOCKED}noh.com
• n.{BLOCKED}nod.ru
• n.{BLOCKED}kqj.ru
• n.{BLOCKED}yxd.ru
• n.{BLOCKED}wrl.com
• n.{BLOCKED}dbf.ru
• n.{BLOCKED}lcr.ru
• n.{BLOCKED}jxo.com
• n.{BLOCKED}ysh.ru
• n.{BLOCKED}fdx.ru
• n.{BLOCKED}vcy.com
• n.{BLOCKED}tsx.ru
• n.{BLOCKED}khq.com
• n.{BLOCKED}vnf.com
• n.{BLOCKED}icx.ru
• n.{BLOCKED}tse.com
• n.{BLOCKED}duf.ru
• n.{BLOCKED}cxh.com
• n.{BLOCKED}imx.ru
• n.{BLOCKED}pts.com
• n.{BLOCKED}cqs.ru
• n.{BLOCKED}ysj.com
• n.{BLOCKED}dct.com
• n.{BLOCKED}kcb.ru
• n.{BLOCKED}kfu.com
• n.{BLOCKED}vnx.com
• n.{BLOCKED}nwc.com
• n.{BLOCKED}qaa.com
• n.{BLOCKED}dma.com
• n.{BLOCKED}jxl.ru
• n.{BLOCKED}xax.com
• n.{BLOCKED}rnt.ru
• n.{BLOCKED}xbf.ru
• n.{BLOCKED}rdo.com
• n.{BLOCKED}bcw.ru
• n.{BLOCKED}qiv.ru
• n.{BLOCKED}rzu.ru
• n.{BLOCKED}djz.ru
• n.{BLOCKED}wgy.ru
• n.{BLOCKED}ips.com
• n.{BLOCKED}thi.com
• n.{BLOCKED}gks.ru
• n.{BLOCKED}uve.ru
• n.{BLOCKED}irg.ru
• n.{BLOCKED}tul.ru
• n.{BLOCKED}ruc.ru
• n.{BLOCKED}lyd.com
• n.{BLOCKED}oja.ru
• n.{BLOCKED}rqr.ru
• n.{BLOCKED}ajd.ru
• n.{BLOCKED}bpm.com
• n.{BLOCKED}typ.com
• n.{BLOCKED}rbj.ru
• n.{BLOCKED}nzj.com
• n.{BLOCKED}yov.com
• n.{BLOCKED}onc.com
• n.{BLOCKED}ebj.com
• n.{BLOCKED}xup.com
• n.{BLOCKED}iqf.com
• n.{BLOCKED}uhz.ru
• n.{BLOCKED}lhx.ru
• n.{BLOCKED}cvx.ru
• n.{BLOCKED}xsl.ru
• n.{BLOCKED}otb.ru
• n.{BLOCKED}snc.ru
• n.{BLOCKED}xqs.ru
• n.{BLOCKED}mnh.com
• n.{BLOCKED}oqc.com
• n.{BLOCKED}tle.ru
• n.{BLOCKED}ylf.com
• n.{BLOCKED}hsc.ru
• n.{BLOCKED}qoe.ru
• n.{BLOCKED}zkq.ru
• n.{BLOCKED}ijv.ru
• n.{BLOCKED}jzt.com
• n.{BLOCKED}lmz.com
• n.{BLOCKED}otd.com
• n.{BLOCKED}uvr.com
• n.{BLOCKED}twh.ru
• n.{BLOCKED}uag.com
• n.{BLOCKED}cxj.ru
• n.{BLOCKED}vly.ru
• n.{BLOCKED}cah.com
• n.{BLOCKED}tms.com
• n.{BLOCKED}ru
• n.{BLOCKED}wax.com
• n.{BLOCKED}zun.ru
• n.{BLOCKED}hum.ru
• n.{BLOCKED}qwk.ru
• n.{BLOCKED}ztu.com
• n.{BLOCKED}ryz.ru
• n.{BLOCKED}rii.ru
• n.{BLOCKED}zdu.ru
• n.{BLOCKED}vhe.com
• n.{BLOCKED}muh.com
• n.{BLOCKED}bab.com
• n.{BLOCKED}xbr.com
• n.{BLOCKED}lyt.com
• n.{BLOCKED}iis.ru
• n.{BLOCKED}sqv.com
• n.{BLOCKED}jty.ru
• n.{BLOCKED}weh.com
• n.{BLOCKED}jtb.com
• n.{BLOCKED}edd.com
• n.{BLOCKED}dzt.com
• n.{BLOCKED}hio.com
• n.{BLOCKED}myh.ru
• n.{BLOCKED}iwo.com
• n.{BLOCKED}pku.ru
• n.{BLOCKED}lqf.com
• n.{BLOCKED}vki.com
• n.{BLOCKED}fpi.com
• n.{BLOCKED}jsu.com
• n.{BLOCKED}vqt.ru
• n.{BLOCKED}dam.ru
• n.{BLOCKED}xbi.ru
• n.{BLOCKED}dsy.ru
• n.{BLOCKED}and.ru
• n.{BLOCKED}bib.com
• n.{BLOCKED}ixo.com
• n.{BLOCKED}gjm.com
• n.{BLOCKED}qpg.com
• n.{BLOCKED}xil.ru
• n.{BLOCKED}bce.com
• n.{BLOCKED}ebe.ru
• n.{BLOCKED}fsz.com
• n.{BLOCKED}gko.com
• n.{BLOCKED}iyg.ru
• n.{BLOCKED}inx.ru
• n.{BLOCKED}vgu.com
• n.{BLOCKED}klo.com
• n.{BLOCKED}aaj.com
• n.{BLOCKED}fvk.ru
• n.{BLOCKED}qxz.ru
• n.{BLOCKED}sxt.com
• n.{BLOCKED}she.com
• n.{BLOCKED}tum.ru
• n.{BLOCKED}oge.ru
• n.{BLOCKED}jaj.ru
• n.{BLOCKED}wqk.ru
• n.{BLOCKED}etb.ru
• n.{BLOCKED}anm.ru
• n.{BLOCKED}lks.ru
• n.{BLOCKED}sll.ru
• n.{BLOCKED}wer.com
• n.{BLOCKED}pxz.ru
• n.{BLOCKED}hxq.com
• n.{BLOCKED}zyr.com
• n.{BLOCKED}uxv.com
• n.{BLOCKED}xht.ru
• n.{BLOCKED}rqm.com
• n.{BLOCKED}dks.com
• n.{BLOCKED}umt.com
• n.{BLOCKED}pbo.ru
• n.{BLOCKED}gcj.ru
• n.{BLOCKED}imf.com
• n.{BLOCKED}nup.com
• n.{BLOCKED}qxi.ru
• n.{BLOCKED}bsj.com
• n.{BLOCKED}dqe.ru
• n.{BLOCKED}gdj.com
• n.{BLOCKED}cna.com
• n.{BLOCKED}ket.ru
• n.{BLOCKED}bbb.com
• n.{BLOCKED}egs.com
• n.{BLOCKED}eou.com
• n.{BLOCKED}gfj.ru
• n.{BLOCKED}nmk.ru
• n.{BLOCKED}oii.ru
• n.{BLOCKED}tli.com
• n.{BLOCKED}jkk.com
• n.{BLOCKED}rjw.com
• n.{BLOCKED}xhw.ru
• n.{BLOCKED}bpd.ru
• n.{BLOCKED}ihg.ru
• n.{BLOCKED}jmk.com
• n.{BLOCKED}dec.com
• n.{BLOCKED}dgz.ru
• n.{BLOCKED}lho.ru
• n.{BLOCKED}qbp.ru
• n.{BLOCKED}rhy.com
• n.{BLOCKED}hvl.ru
• n.{BLOCKED}rap.ru
• n.{BLOCKED}asl.com
• n.{BLOCKED}wfa.ru
• n.{BLOCKED}ufr.ru
• n.{BLOCKED}rss.com
• n.{BLOCKED}zra.ru
• n.{BLOCKED}uez.com
• n.{BLOCKED}tli.ru
• n.{BLOCKED}tif.ru
• n.{BLOCKED}paz.ru
• n.{BLOCKED}fpj.com
• n.{BLOCKED}vrd.ru
• n.{BLOCKED}wyu.com
• n.{BLOCKED}hsl.com
• n.{BLOCKED}cra.com
• n.{BLOCKED}lqc.ru
• n.{BLOCKED}wum.com

その他

ワームは、以下のWebサイトにアクセスして感染コンピュータのIPアドレスを収集します。

• api.wipmania.com

ワームは、以下の文字列を含むセキュリティ対策関連Webサイトが閲覧できないようにします。

• webroot
• fortinet
• virusbuster
• nprotect
• gdatasoftware
• virus
• precisesecurity
• lavasoft
• heck.tc
• emsisoft
• onlinemalwarescanner
• onecare.live
• f-secure
• bullguard
• clamav
• pandasecurity
• sophos
• malwarebytes
• sunbeltsoftware
• norton
• norman
• mcafee
• symantec
• comodo
• avast
• avira
• bitdefender
• eset
• kaspersky
• trendmicro
• iseclab
• virscan
• garyshood
• viruschief
• jotti
• threatexpert
• novirusthanks
• virustotal
• avg

ワーム は、自身（コンピュータに侵入して最初に自身のコピーを作成した ワーム ）を削除します。

ワームは、以下の方法でコンピュータに侵入します。

• ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。
• ワームは、リムーバブルドライブを介して侵入します。
• ワームは、HTMLページに組み込まれたIFRAMEタグにアクセスすることで侵入する可能性があります。
• ワームは、インスタントメッセンジャ（IM）およびソーシャルネットワークサイトを介して侵入します。

ワームが実行する不正リモートユーザからのコマンドは以下のとおりです。

• IRCチャンネルへの接続
• 接続したIRCチャンネル上でプライベートメッセージを送信
• 自身の更新
• 任意のファイルのダウンロード
• インスタントメッセンジャ「MSNメッセンジャ」を利用してメッセージの送信
• HTMLファイルへiframe タグを挿入
• 任意のWebサイトを訪問
• 任意のDNSをブロック
• ログイン認証情報の収集
• FTPサイトへログイン
• 任意のプロセスを作成
• 以下のシステムファイルの変更が可能
  • ipconfig.exe
  • verclsid.exe
  • regedit.exe
  • rundll32.exe
  • cmd.exe
  • regsvr32.exe
• 「分散型サービス拒否（DDoS）攻撃」の実行

ワームは以下を実行します。

• ワームは、ユーザが以下の文字列を含むWebサイトを訪問すると、ユーザの個人情報を収集するために感染コンピュータのブラウザ活動を監視します。
  • login[password]
  • login[username]
  • *members*.iknowthatgirl*/members*
  • *youporn.*/login*
  • *members.brazzers.com*
  • numeroTarjeta
  • *clave=*
  • *bcointernacional*login*
  • *:2222/CMD_LOGIN*
  • *whcms*dologin*
  • *:2086/login*
  • *:2083/login*
  • *:2082/login*
  • *webnames.ru/*user_login*
  • *dotster.com/*login*
  • loginid
  • *enom.com/login*
  • login.Pass
  • login.User
  • *login.Pass=*
  • *1and1.com/xml/config*
  • token
  • *moniker.com/*Login*
  • LoginPassword
  • LoginUserName
  • *LoginPassword=*
  • *namecheap.com/*login*
  • loginname
  • *godaddy.com/login*
  • Password
  • EmailName
  • *Password=*
  • *alertpay.com/login*
  • *netflix.com/*ogin*
  • *thepiratebay.org/login*
  • *torrentleech.org/*login*
  • *vip-file.com/*/signin-do*
  • *pas=*
  • *sms4file.com/*/signin-do*
  • *letitbit.net*
  • *what.cd/login*
  • *oron.com/login*
  • *filesonic.com/*login*
  • *speedyshare.com/login*
  • *pw=*
  • *uploaded.to/*login*
  • *uploading.com/*login*
  • loginUserPassword
  • loginUserName
  • *loginUserPassword=*
  • *fileserv.com/login*
  • *hotfile.com/login*
  • *4shared.com/login*
  • txtpass
  • txtuser
  • *txtpass=*
  • *netload.in/index*
  • *freakshare.com/login*
  • login_pass
  • *login_pass=*
  • *mediafire.com/*login*
  • *sendspace.com/login*
  • *megaupload.*/*login*
  • *depositfiles.*/*/login*
  • userid
  • *signin.ebay*SignIn
  • *officebanking.cl/*login.asp*
  • *secure.logmein.*/*logincheck*
  • session[password]
  • session[username_or_email]
  • *password]=*
  • *twitter.com/sessions
  • txtPassword
  • txtEmail
  • *&txtPassword=*
  • *.moneybookers.*/*login.pl
  • *runescape*/*weblogin*
  • *dyndns*/account*
  • *&password=*
  • *no-ip*/login*
  • *steampowered*/login*
  • quick_password
  • quick_username
  • username
  • *hackforums.*/member.php
  • email
  • *facebook.*/login.php*
  • *login.yahoo.*/*login*
  • passwd
  • login
  • *passwd=*
  • *login.live.*/*post.srf*
  • TextfieldPassword
  • TextfieldEmail
  • *TextfieldPassword=*
  • *gmx.*/*FormLogin*
  • *Passwd=*
  • FLN-Password
  • FLN-UserName
  • *FLN-Password=*
  • *fastmail.*/mail/*
  • *pass=*
  • *bigstring.*/*index.php*
  • screenname
  • *screenname.aol.*/login.psp*
  • password
  • loginId
  • *password=*
  • *aol.*/*login.psp*
  • Passwd
  • Email
  • *service=youtube*
  • *google.*/*ServiceLoginAuth*
  • login_password
  • login_email
  • *login_password=*
  • *paypal.*/webscr?cmd=_login-submit*
• ワームは、以下のURLのWebサイト上のコメントボックスに投稿されたメッセージを監視し収集します。
  • comment-text
  • *bebo.*/c/home/ajax_post_lifestream_comment
  • bebo Lifestream
  • *bebo.*/c/profile/comment_post.json
  • bebo Comment
  • Message
  • *bebo.*/mail/MailCompose.jsp*
  • bebo Message
  • *friendster.*/sendmessage.php*
  • Friendster Message
  • comment
  • Friendster Comment
  • shoutout
  • *friendster.*/rpc.php
  • Friendster Shoutout
  • *vkontakte.ru/mail.php
  • vkontakte Message
  • *vkontakte.ru/wall.php
  • vkontakte Wall
  • message
  • *vkontakte.ru/api.php
  • vkontakte Chat
  • *twitter.*/*direct_messages/new*
  • Twitter Message
  • *twitter.*/*status*/update*
  • Twitter Tweet
  • status
  • *facebook.*/ajax/*MessageComposerEndpoint.php*
  • Facebook Message
  • msg_text
  • *facebook.*/ajax/chat/send.php*
  • Facebook IM
• ワームは、リムーバルドライブ内の自身のコピーに誘導するショートカットファイルを作成します。作成された.LNKファイルは、ファイル名にリムーバルドライブ内のファイル名を使用します。その後、元のフォルダを隠し属性に設定することにより、ユーザに作成したLNKファイルをクリックさせようとします。


• ワームは以下のブラウザを監視します。
  • Flock
  • Opera
  • Google Chrome
  • Internet Explorer
  • Mozilla Firefox

ワームは、実行中のすべてのプロセス(except smss.exeおよびlsass.exe)に組み込まれ、メモリに常駐します。

ワームは、ユーザが以下の文字列を含むセキュリティ対策製品関連のWebサイトを訪問するのを妨害します、

• webroot
• fortinet
• virusbuster
• nprotect
• gdatasoftware
• virus
• precisesecurity
• lavasoft
• heck.tc
• emsisoft
• onlinemalwarescanner
• onecare.live
• f-secure
• bullguard
• clamav
• pandasecurity
• sophos
• malwarebytes
• sunbeltsoftware
• norton
• norman
• mcafee
• symantec
• comodo
• avast
• avira
• bitdefender
• eset
• kaspersky
• trendmicro
• iseclab
• virscan
• garyshood
• viruschief
• jotti
• threatexpert
• novirusthanks
• virustotal
• avg

マルウェアは、ルートキット機能を備えていません。

マルウェアは、脆弱性を利用した感染活動を行いません。