WORM_IRCBOT.MA

侵入経路：リムーバブルドライブの利用

ワームは、リムーバブルドライブを介してコンピュータに侵入します。 ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。

ワームは、ポートを開き、不正リモートユーザからのコマンドを待機します。 ワームは、IRCチャンネルに参加します。

侵入方法

ワームは、リムーバブルドライブを介してコンピュータに侵入します。

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ワームは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %System Root%\RESTORE\{random SID}\DriveFix.exe

(註：%System Root%は、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。)

ワームは、以下のファイルを作成します。

• %System Root%\RESTORE\{random SID}\Desktop.ini - non-malicious file

(註：%System Root%は、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。)

ワームは、以下のフォルダを作成します。

• %System Root%\RESTORE\{random SID}

(註：%System Root%は、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。)

ワームは、以下のプロセスに組み込まれ、システムのプロセスに常駐します。

• Explorer.exe

自動実行方法

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Active Setup\Installed Components\{28ABC5C0-4FCB-11CF-AAX5-21CX1C987192}
StubPath = "%System Root%\RESTORE\{random SID}\DriveFix.exe"

他のシステム変更

ワームは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Active Setup\Installed Components\{28ABC5C0-4FCB-11CF-AAX5-21CX1C987192}

感染活動

ワームは、すべてのリムーバブルドライブ内に以下として自身のコピーを作成します。

• {drive letter}:\RESTORE\{random SID}\DriveFix.exe

ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。

上記INFファイルには、以下の文字列が含まれています。

[AutoRun]
open=RESTORE\{random SID}\DriveFix.exe
icon=%System Root%\system32\SHELL32.dll,4
action=Open folder to view files
shell\open=Open
shell\open\command=RESTORE\{random SID}\DriveFix.exe
shell\open\default=1

(註：%System Root%は、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。)

バックドア活動

ワームは、以下のポートを開き、不正リモートユーザからのコマンドを待機します。

• TCP 18631

ワームは、以下のいずれかのIRCサーバに接続します。

• {BLOCKED}.{BLOCKED}.174.3

ワームは、以下のいずれかのIRCチャンネルに参加します。

• #l4mer# l4m0s

その他

マルウェアは、すべてのリムーバブルドライブ内に以下のように無害なファイルを作成します。

• {drive letter}:\RESTORE\{random SID}\Desktop.ini

マルウェアは、IRCに接続すると、以下の認証情報を用います。

• NICK [laMer]jxmbzjrdp
  USER 0nefsrselc "" "uih" :nefsrselc
• NICK [laMer]lzzuauhsm
  USER 0mscvlzfrp "" "dik" :mscvlzfrp

マルウェアは、以下のリモートホストにPINGリクエストを送信します。

• {BLOCKED}p.aic.pa

ただし、情報公開日現在、上記リモートホストはアクセス不能のようです。