WORM_ELVI.A

ワームは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。

ワームは、リムーバブルドライブ内に自身のコピーを作成します。作成されたコピーのファイル名として、上記のドライブ上に存在するフォルダ名を使用します。

ワームは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。 ただし、情報公開日現在、このWebサイトにはアクセスできません。

侵入方法

ワームは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。

インストール

ワームは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %User Startup%\skype.exe

(註：%User Startup%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞\Start Menu\Programs\Startup" 、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、" C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup" です。.)

ワームは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

• %ProgramData%\skype.exe

(註：%ProgramData%フォルダは、Windows Vista および 7 の場合、通常、"C:\ProgramData"、Windows 2000、XP (32ビット)、Server 2003 の場合、"C:\Program Files"、Windows XP (64ビット) の場合、"C:\Program Files (x86)" です。)

ワームは、以下のファイルを作成します。

• %ProgramData%\skype.exe.ini

(註：%ProgramData%フォルダは、Windows Vista および 7 の場合、通常、"C:\ProgramData"、Windows 2000、XP (32ビット)、Server 2003 の場合、"C:\Program Files"、Windows XP (64ビット) の場合、"C:\Program Files (x86)" です。)

ワームは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• programdataskype.exe

自動実行方法

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
skype.exe = %ProgramData%\skype.exe

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Run
skype.exe = %ProgramData%\skype.exe

感染活動

ワームは、リムーバブルドライブ内に自身のコピーを作成します。作成されたコピーのファイル名として、上記のドライブ上に存在するフォルダ名を使用します。

バックドア活動

ワームは、以下のポートを開き、リモートコマンドを待機します。

• 1888

ワームは、不正リモートユーザからの以下のコマンドを実行します。

• DL - Downloads and executes the file. The file will be located in %Temp% folder.
• up - Download and executes the latest version of the malware. Uninstall the previous version.
• ex - Executes a file
• cmd - Perform a remote shell
• pwd - Get specific stored credentials from system then send to C&C server. (e.g. FileZilla, Google Chrome, and NO-IP Dynamic DNS Service)
• un - Uninstall itself from the system

(註：%Temp%フォルダは、一時的にファイルが保存されるフォルダで、いずれのオペレーティングシステム(OS)でも通常、 "C:\Windows\Temp" です。.)

ワームは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• http://saadabd.{BLOCKED}p.biz

ワームは、コマンド＆コントロール（C&C）サーバに以下の情報を通知します。

• Removable Devices present
• Serial number of %System Root%
• Malware Version
• OS Service Pack
• OS Version
• Title of active windows
• ID of currently logged on user
• Computer's network name
• Malware Name

(註：%System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.)

ただし、情報公開日現在、このWebサイトにはアクセスできません。