WORM_DORKBOT.XXSR

ワームは、ユーザが特定の文字列を含むWebサイトを訪問すると、ユーザの個人情報を収集するために感染コンピュータのブラウザ活動を監視します。ワームは、特定のブラウザを監視します。ワームは、バックドア機能を備えています。ワームは特定のシステムファイルを変更します。ワームは、自身を隠ぺいし、不正活動を推進するために特定のAPIをフックします。

ワームは、リムーバルドライブ内の自身のコピーに誘導するショートカットファイルを作成します。作成された.LNKファイルは、ファイル名にリムーバルドライブ内のファイル名を使用します。その後、元のフォルダを隠し属性に設定することにより、ユーザに作成したLNKファイルをクリックさせようとします。

ワーム マルウェアは、自身（コンピュータに侵入して最初に自身のコピーを作成した ワーム ）を削除します。

侵入方法

ワームは、以下の方法でコンピュータに侵入します。

• It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.
• It arrives via removable drives.
• It may arrive through accessing malicious IFRAME tags inserted in HTML pages.
• It arrives via Instant Messaging and Social Networking sites

インストール

ワームは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Application Data%\Microsoft\Windows\Themes\{random filename}.exe
• %Application Data%\WindowsUpdate\Updater.exe
• %Application Data%\Update\Explorer.exe
• %Application Data%\Update\Update.exe
• %Application Data%\c731200

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

ワームは、以下のコンポーネントファイルを作成します。

• %User Temp%\c731200

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

自動実行方法

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Windows Update Installer = "%Application Data%\WindowsUpdate\Updater.exe"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{random filename} = "%Application Data%\Microsoft\Windows\Themes\{random filename}.exe"

他のシステム変更

ワームは、以下のファイルを改変します。

• ipconfig.exe
• verclsid.exe
• regedit.exe
• rundll32.exe
• cmd.exe
• regsvr32.exe

感染活動

ワームは、すべてのリムーバブルドライブ内に以下として自身のコピーを作成します。

• {removable drive letter}:\{random filename}.exe

その他

ワームは、以下のWebサイトにアクセスして感染コンピュータのIPアドレスを収集します。

• api.wipmania.com

ワームは、以下の不正なWebサイトにアクセスします。

• {BLOCKED}.{BLOCKED}.28.199:3720
• n.{BLOCKED}s.ru
• n.{BLOCKED}duhz.ru
• n.{BLOCKED}lgoja.ru
• n.{BLOCKED}xxbf.ru
• n.{BLOCKED}lho.ru
• n.{BLOCKED}gcj.ru
• n.{BLOCKED}rap.ru
• n.{BLOCKED}pku.ru
• n.{BLOCKED}ntif.ru
• n.{BLOCKED}snc.ru
• n.{BLOCKED}yxd.ru
• n.{BLOCKED}wh.ru
• n.{BLOCKED}wqk.ru
• n.{BLOCKED}kpaz.ru
• n.{BLOCKED}kcb.ru
• n.{BLOCKED}khvl.ru
• n.{BLOCKED}anm.ru
• n.{BLOCKED}xwfa.ru
• n.{BLOCKED}gvly.ru
• n.{BLOCKED}zdu.ru
• n.{BLOCKED}otb.ru
• n.{BLOCKED}jxl.ru
• n.{BLOCKED}rii.ru
• n.{BLOCKED}qwk.ru
• n.{BLOCKED}nod.ru
• n.{BLOCKED}hum.ru
• n.{BLOCKED}aj.ru
• n.{BLOCKED}fvk.ru
• n.{BLOCKED}vqt.ru
• n.{BLOCKED}is.ru
• n.{BLOCKED}fxht.ru
• n.{BLOCKED}uve.ru
• n.{BLOCKED}rbj.ru
• n.{BLOCKED}lcr.ru
• n.{BLOCKED}zu.ru
• n.{BLOCKED}jzkq.ru
• n.{BLOCKED}lks.ru
• n.{BLOCKED}ijv.ru
• n.{BLOCKED}ihg.ru
• n.{BLOCKED}tli.ru
• n.{BLOCKED}tul.ru
• n.{BLOCKED}ii.ru
• n.{BLOCKED}xbi.ru
• n.{BLOCKED}be.ru
• n.{BLOCKED}ntle.ru
• n.{BLOCKED}nmk.ru
• n.{BLOCKED}qiv.ru
• n.{BLOCKED}lhsc.ru
• n.{BLOCKED}rqr.ru
• n.{BLOCKED}mbpd.ru
• n.{BLOCKED}dqe.ru
• n.{BLOCKED}bcw.ru
• n.{BLOCKED}tsx.ru
• n.{BLOCKED}zra.ru
• n.{BLOCKED}kkqj.ru
• n.{BLOCKED}ruc.ru
• n.{BLOCKED}dgz.ru
• n.{BLOCKED}lhx.ru
• n.{BLOCKED}djz.ru
• n.{BLOCKED}um.ru
• n.{BLOCKED}ryz.ru
• n.{BLOCKED}qoe.ru
• n.{BLOCKED}zun.ru
• n.{BLOCKED}qxi.ru
• n.{BLOCKED}ket.ru
• n.{BLOCKED}xsl.ru
• n.{BLOCKED}jysh.ru
• n.{BLOCKED}rnt.ru
• n.{BLOCKED}ajd.ru
• n.{BLOCKED}cxj.ru
• n.{BLOCKED}ufr.ru
• n.{BLOCKED}gfj.ru
• n.{BLOCKED}sy.ru
• n.{BLOCKED}gks.ru
• n.{BLOCKED}xqs.ru
• n.{BLOCKED}uf.ru
• n.{BLOCKED}fdx.ru
• n.{BLOCKED}jwgy.ru
• n.{BLOCKED}bf.ru
• n.{BLOCKED}cvx.ru
• n.{BLOCKED}etb.ru
• n.{BLOCKED}ll.ru
• n.{BLOCKED}rg.ru
• n.{BLOCKED}yg.ru
• n.{BLOCKED}icx.ru
• n.{BLOCKED}mx.ru
• n.{BLOCKED}xz.ru
• n.{BLOCKED}qbp.ru
• n.{BLOCKED}yh.ru
• n.{BLOCKED}e.ru
• n.{BLOCKED}inx.ru
• n.{BLOCKED}pxz.ru
• n.{BLOCKED}pbo.ru
• n.{BLOCKED}dam.ru
• n.{BLOCKED}vrd.ru
• n.{BLOCKED}qs.ru
• n.{BLOCKED}and.ru
• n.{BLOCKED}lqc.ru
• n.{BLOCKED}xil.ru
• n.{BLOCKED}xhw.ru
• n.{BLOCKED}jty.ru
• n.{BLOCKED}ydma.com
• n.{BLOCKED}vhe.com
• n.{BLOCKED}sqv.com
• n.{BLOCKED}xax.com
• n.{BLOCKED}hotd.com
• n.{BLOCKED}bpm.com
• n.{BLOCKED}bsj.com
• n.{BLOCKED}fsz.com
• n.{BLOCKED}uag.com
• n.{BLOCKED}lyt.com
• n.{BLOCKED}uez.com
• n.{BLOCKED}uvr.com
• n.{BLOCKED}iqf.com
• n.{BLOCKED}bib.com
• n.{BLOCKED}fpj.com
• n.{BLOCKED}bab.com
• n.{BLOCKED}tli.com
• n.{BLOCKED}asl.com
• n.{BLOCKED}hxq.com
• n.{BLOCKED}fpi.com
• n.{BLOCKED}khq.com
• n.{BLOCKED}tse.com
• n.{BLOCKED}weh.com
• n.{BLOCKED}jxo.com
• n.{BLOCKED}sjsu.com
• n.{BLOCKED}hio.com
• n.{BLOCKED}jmk.com
• n.{BLOCKED}nf.com
• n.{BLOCKED}thi.com
• n.{BLOCKED}pts.com
• n.{BLOCKED}yov.com
• n.{BLOCKED}bbb.com
• n.{BLOCKED}qaa.com
• n.{BLOCKED}cra.com
• n.{BLOCKED}kfu.com
• n.{BLOCKED}egs.com
• n.{BLOCKED}ysj.com
• n.{BLOCKED}cna.com
• n.{BLOCKED}awyu.com
• n.{BLOCKED}rqm.com
• n.{BLOCKED}jtb.com
• n.{BLOCKED}aaj.com
• n.{BLOCKED}dct.com
• n.{BLOCKED}zyr.com
• n.{BLOCKED}cxh.com
• n.{BLOCKED}qpg.com
• n.{BLOCKED}ztu.com
• n.{BLOCKED}rdo.com
• n.{BLOCKED}rhy.com
• n.{BLOCKED}kwax.com
• n.{BLOCKED}niwo.com
• n.{BLOCKED}jzt.com
• n.{BLOCKED}sxt.com
• n.{BLOCKED}mnh.com
• n.{BLOCKED}ixo.com
• n.{BLOCKED}jkk.com
• n.{BLOCKED}onc.com
• n.{BLOCKED}edd.com
• n.{BLOCKED}dzt.com
• n.{BLOCKED}klo.com
• n.{BLOCKED}typ.com
• n.{BLOCKED}wrl.com
• n.{BLOCKED}up.com
• n.{BLOCKED}hcr.com
• n.{BLOCKED}tms.com
• n.{BLOCKED}lyd.com
• n.{BLOCKED}vcy.com
• n.{BLOCKED}lmz.com
• n.{BLOCKED}ips.com
• n.{BLOCKED}gjm.com
• n.{BLOCKED}wum.com
• n.{BLOCKED}lqf.com
• n.{BLOCKED}nwc.com
• n.{BLOCKED}dec.com
• n.{BLOCKED}jw.com
• n.{BLOCKED}nzj.com
• n.{BLOCKED}idks.com
• n.{BLOCKED}bce.com
• n.{BLOCKED}ahr.com
• n.{BLOCKED}ss.com
• n.{BLOCKED}nup.com
• n.{BLOCKED}nx.com
• n.{BLOCKED}gko.com
• n.{BLOCKED}hsl.com
• n.{BLOCKED}umt.com
• n.{BLOCKED}imf.com
• n.{BLOCKED}xbr.com
• n.{BLOCKED}gu.com
• n.{BLOCKED}wylf.com
• n.{BLOCKED}mwer.com
• n.{BLOCKED}gdj.com
• n.{BLOCKED}she.com
• n.{BLOCKED}qc.com
• n.{BLOCKED}ki.com
• n.{BLOCKED}muh.com
• n.{BLOCKED}xv.com
• n.{BLOCKED}eou.com
• n.{BLOCKED}cah.com
• n.{BLOCKED}oh.com
• n.{BLOCKED}ebj.com

ワーム は、自身（コンピュータに侵入して最初に自身のコピーを作成した ワーム ）を削除します。

ワームは、以下の方法でコンピュータに侵入します。

• ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。
• ワームは、リムーバブルドライブを介して侵入します。
• ワームは、HTMLページに組み込まれたIFRAMEタグにアクセスすることで侵入する可能性があります。
• ワームは、インスタントメッセンジャ（IM）およびソーシャルネットワークサイトを介して侵入します。

ワームは、リムーバルドライブ内の自身のコピーに誘導するショートカットファイルを作成します。作成された.LNKファイルは、ファイル名にリムーバルドライブ内のファイル名を使用します。その後、元のフォルダを隠し属性に設定することにより、ユーザに作成したLNKファイルをクリックさせようとします。