WORM_HUPIGON.RJ

ワームは、リムーバブルドライブを介してコンピュータに侵入します。 ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。

ワームは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。 ワームは、特定のWebサイトにアクセスし、情報を送受信します。

ワーム マルウェアは、自身（コンピュータに侵入して最初に自身のコピーを作成した ワーム ）を削除します。

侵入方法

ワームは、リムーバブルドライブを介してコンピュータに侵入します。

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ワームは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %System%\_Server46.exe
• %Program Files%\Common Files\Microsoft Shared\MSInfo\Server46.exe
• {Drive Letter}:\Server46.exe

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.. %Program Files%フォルダは、プログラムファイルのフォルダで、いずれのオペレーティングシステム(OS)でも通常、 "C:\Program Files"、64bitのOS上で32bitのアプリケーションを実行している場合、 "C:\Program Files (x86)" です。.)

ワームは、以下のファイルを作成します。

• %Program Files%\Common Files\Microsoft Shared\MSInfo\SgotoDel.bat ← used to delete initially executed copy - deleted afterwards
• %Program Files%\Common Files\Microsoft Shared\MSInfo\Beizhu.TXT ← log file

(註：%Program Files%フォルダは、プログラムファイルのフォルダで、いずれのオペレーティングシステム(OS)でも通常、 "C:\Program Files"、64bitのOS上で32bitのアプリケーションを実行している場合、 "C:\Program Files (x86)" です。.)

ワームは、以下のプロセスを追加します。

• calc.exe
• IEXPLORE.EXE

ワームは、以下のプロセスにコードを組み込みます。

• created calc.exe
• created IEXPLORE.EXE

自動実行方法

ワームは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\dserver
Type = "272"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\dserver
Start = "2"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\dserver
ImagePath = "%Program Files%\Common Files\Microsoft Shared\MSINFO\Server46.exe"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\dserver
DisplayName = "Logical Disk Manger"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\dserver
ObjectName = "LocalSystem"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\dserver
Description = "Detects and monitors new hard disk drives and sends disk volume"

ワームは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\dserver

他のシステム変更

ワームは、以下のレジストリ値を変更します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
Explorer
NoDriveTypeAutoRun = "0"

(註：変更前の上記レジストリ値は、「FF」となります。)

感染活動

ワームは、すべての物理ドライブおよびリムーバブルドライブ内に以下として自身のコピーを作成します。

• {Drive Letter}:\Server46.exe

ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。

上記INFファイルには、以下の文字列が含まれています。

[AutoRun]
open=Server46.exe
shellexecute=Server46.exe
shell\Auto\command=Server46.exe

バックドア活動

ワームは、不正リモートユーザからの以下のコマンドを実行します。

• Logs keystroke
• Capture Video
• Record Audio
• Snapshot
• Manage Services
• Download and Execute files
• Create,Delete,Modify Files
• Terminate Process
• Perform Remote Shell
• Shutdown System
• Perform DDoS attack
• Change Desktop wallpaper
• Change Startpage or Homepage
• Disable Remote Desktop
• Delete npkcrypt.sys
• Drops URL link in custom Favorites

ワームは、以下のWebサイトにアクセスし、情報を送受信します。

• http://www.{BLOCKED}e.com/ip.txt

ただし、情報公開日現在、このWebサイトにはアクセスできません。

情報漏えい

ワームは、以下の情報を収集します。

• Computer Name
• Network Adapters
• CPU speed
• Memory Size
• OS version
• Service Packs

その他

ワーム は、自身（コンピュータに侵入して最初に自身のコピーを作成した ワーム ）を削除します。

その他

ワームが作成する以下のファイルは、最初に実行されたコピーを削除するために利用され、その後削除されます。

• %Program Files%\Common Files\Microsoft Shared\MSInfo\SgotoDel.bat

ワームが作成する以下のファイルは、ログファイルです。

• %Program Files%\Common Files\Microsoft Shared\MSInfo\Beizhu.TXT

ワームが実行する不正リモートユーザからのコマンドは以下のとおりです。

• キー入力操作情報の記録
• 動画のキャプチャ
• 音声の記録
• スナップショット
• サービスの管理
• ファイルのダウンロードおよび実行
• ファイルの作成、削除、変更
• プロセスの終了
• リモートシェルの実行
• コンピュータのシャットダウン
• 分散型サービス拒否（DDoS）攻撃の実行
• デスクトップの壁紙の変更
• スタートページまたはホームページの変更
• リモートデスクトップの無効
• npkcrypt.sysの削除
• お気に入りにURLリンクを作成

ワームは、以下の情報を収集します。

• コンピュータ名
• ネットワークアダプター
• CPUの速度
• メモリのサイズ
• OSのバージョン
• サービスバック

ワームは、ルートキット機能を備えていません。

ワームは、脆弱性を利用した感染活動を行いません。