WORM_KELIHOS.CH

ワームは、リムーバブルドライブを介してコンピュータに侵入します。 ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ワームは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。 ワームは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

ワームは、リムーバブルドライブを介してコンピュータに侵入します。

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

自動実行方法

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
{variable1} = "{malware path and file name}"
where {variable 1} is the combination of two words from any the following:

• Informer
• Verifyer
• Saver
• Notifyer
• Checker
• Updater
• Network
• Time
• CrashReport
• Database
• Icon
• Desktop
• Tray
• Video
• Media

他のシステム変更

ワームは、インストールの過程で、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Main
SizeCompletedValid = "DOG3c2U+e8tKjlkgOnkJw01j9UQR4nE7XiEcc5OujMjGCLyLebDjsg/C2tWGzx8qaQ=="

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
User Shell Folders
defaultcompressedrecord = "{random values}"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
User Shell Folders
recordmodifiedmax = "DOG3c2U+e8tKjlkgOnkJw01j9UQR4nE7XiEcc5OujMjGCLyLebDjsg/C2tWGzx8qaQ=="

感染活動

ワームは、すべてのリムーバブルドライブ内に以下として自身のコピーを作成します。

• Any of the following:
  
  • password.exe
  • screensaver.exe
  • game.exe
  • porn.exe
  • run.exe
  • hentai.exe
  • installer.exe

バックドア活動

ワームは、不正リモートユーザからの以下のコマンドを実行します。

• Request spam email messages structure and template
• Send spam email messages using SMTP
• List running processes
• Download and execute arbitrary files
• Terminate self

ワームは、以下のWebサイトにアクセスし、情報を送受信します。

• http://{BLOCKED}.{BLOCKED}.115.190/online.htm
• http://{BLOCKED}.{BLOCKED}.115.190/main.htm
• http://{BLOCKED}.{BLOCKED}.115.190/start.htm
• http://{BLOCKED}.{BLOCKED}.115.190/install.htm
• http://{BLOCKED}.{BLOCKED}.115.190/login.htm
• http://{BLOCKED}.{BLOCKED}.115.190/setup.htm
• http://{BLOCKED}.{BLOCKED}.115.190/welcome.htm
• http://{BLOCKED}.{BLOCKED}.115.190/search.htm
• http://{BLOCKED}.{BLOCKED}.115.190/home.htm
• http://{BLOCKED}.{BLOCKED}.115.190/default.htm
• http://{BLOCKED}.{BLOCKED}.115.190/file.htm

作成活動

ワームは、以下のファイルを作成します。

• This worm installs WinPcap, a legitimate and commonly used Windows packet capture library used to monitor the infected computer's network activities, by dropping and installing the following non-malicious files:
  • %System%\packet.dll
  • %System%\wpcap.dll
  • %System%\drivers\npf.sys

(註：%System%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では "C:\Windows\System32" です。)

情報漏えい

ワームは、コンピュータ内に以下のFTPクライアントまたはファイルマネージャのアカウント情報が保存されている場合、これらのアカウント情報を収集します。

• 32BitFtp
• 3DFTP
• ALFTP
• BPFTP
• BitKinex
• BlazeFtp
• BulletProof FTP
• COREFTP
• CUTEFTP
• Classic FTP
• Core FTP
• CuteFTP
• DeluxeFTP
• Directory Opus
• EasyFTP
• FAR Manager FTP
• FFFTP
• FTP Commander Deluxe
• FTP Commander Pro
• FTP Explorer
• FTP Navigator
• FTP Now
• FTP Surfer
• FTP++
• FTPGetter
• FTPRush
• FTPWare
• Frigate3 FTP
• GPSoftware
• GoFTP
• Ipswitch
• LEAPFTP
• LeechFTP
• P32bit FTP
• SmartFTP
• SoftX FTP
• Staff-FTP
• TurboFTP
• WS_FTP
• WinFTP
• XFTP
• FileZilla
• SecureFX
• FlashFXP
• UltraFXP
• FreshFTP
• Cyberduck
• FTP Shell
• TFTPInfo

ワームは、上述のFTPクライアントおよびファイルマネージャのいずれかから、以下のアカウント情報を収集します。

• FTP User Name
• FTP Password
• FTP Server Name
• Port Number

ワームは、以下のブラウザから、ユーザ名、パスワードやホスト名といった保存された情報を収集します。

• Chrome
• Chromium
• ChromePlus
• Bromium
• Nichrome
• Comodo
• RockMelt
• CoolNovo
• ChromePlus
• Yandex

その他

ワームは、以下のファイルを作成します。

• {removable drive}:\Shortcut to {malware copy}.lnk - points to the dropped malware copy in removable drives