WORM_IPPEDO.B

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ワームは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

侵入方法

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ワームは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %System Root%\Google\googleupdate.a3x

(註：%System Root%フォルダは、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。)

ワームは、以下のフォルダを作成します。

• %System Root%\Skypee
• %System Root%\Google

(註：%System Root%フォルダは、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。)

ワームは、感染コンピュータ上のメモリに以下のプロセスを確認すると、自身を終了します。

• combination of the following processes:
  • avp.exe, zonealarm.exe and avguard.exe
  • tcpview.exe, procmon.exe and nod32kui.exe
  • kavmm.exe, procmon.exe and fsbwsys.exe
  • vmacthlp.exe, avp.exe and kavsvc.exe
• VBoxService.exe
• VBoxTray.exe
• guninraik.exe
• SbieSvc.exe
• VMwareTray.exe
• VMwareUser.exe
• VMwareService.exe
• VMwareUser.exe
• FortiTracer.exe
• vmacthlp.exe
• vmtoolsd.exe
• BehaviorDumper.exe
• FakeHTTPServer.exe
• FakeServer.exe
• FakeHTTPServer.exe
• FakeHTTPServer.exe
• FakeHTTPServer.exe
• FakeHTTPServer.exe

自動実行方法

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Run
Windows Update = "%System Root%\Google\Windowsupdate.lnk"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Windows Update = "%System Root%\Google\Windowsupdate.lnk"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
AdopeUpdate = "%System Root%\Google\GoogleUpdate.lnk"

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Run
JavaUpdate = "%System Root%\Google\GoogleUpdate.lnk"

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Run
NewJavaInstall = "%System Root%\Google\AutoIt3.exe /AutoIt3ExecuteScript %System Root%\Google\googleupdate.a3x"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
AdopeFlash = "%System Root%\Google\AutoIt3.exe /AutoIt3ExecuteScript %System Root%\Google\googleupdate.a3x"

ワームは、Windows起動時に自動実行されるよう＜Common Startup＞フォルダ内に以下のファイルを作成します。

• GoogleUpdate.lnk
• Windows Update.lnk

他のシステム変更

ワームは、以下のファイルを削除します。

• googleupdate.vbs

ワームは、以下のレジストリ値を変更します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
ShowSuperHidden = "0"

(註：変更前の上記レジストリ値は、「{user-defined}」となります。)

感染活動

ワームは、すべての物理ドライブおよびリムーバブルドライブ内に以下として自身のコピーを作成します。

• {drive}:\Skypee\googleupdate.a3x

バックドア活動

ワームは、不正リモートユーザからの以下のコマンドを実行します。

• Restart malware
• Insert script to HTML
• Update copy
• Display message box
• Access a URL specified by remote user
• Execute command through cmd.exe
• Download arbitrary files
• Shutdown
• Restart
• Logoff
• Standby

ワームは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• {BLOCKED}ou.{BLOCKED}o.org:86

情報漏えい

ワームは、以下の情報を収集します。

• Malware ID
• Computer name
• User name
• Country
• OS Version
• OS Architecture (32bit/64bit)
• Active window title
• Installed AV application

その他

ワームは、以下のWebサイトにアクセスし、感染コンピュータの位置情報を取得します。

• http://www.geoplugin.net/json.gp