WORM_KELIHOS.USR

ワームは、他のマルウェアに作成され、コンピュータに侵入します。

ワームは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。 ワームは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

ワームは、以下のマルウェアに作成され、コンピュータに侵入します。

• TROJ_KELIHOS.USR

ワームは、以下のリモートサイトからダウンロードされ、コンピュータに侵入します。

• http://{BLOCKED}.{BLOCKED}.123.44/news.html
• http://{BLOCKED}eg.ru/newbos3.exe

インストール

ワームは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

• %Windows%\Temp\temp{number}.exe

(註：%Windows%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、"C:\Windows" です。)

自動実行方法

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
SonyAgent = "%Windows%\Temp\temp{number}.exe"

感染活動

ワームは、すべてのリムーバブルドライブ内に以下として自身のコピーを作成します。

• game.exe

バックドア活動

ワームは、不正リモートユーザからの以下のコマンドを実行します。

• Request spam email messages structure and template
• Send spam email messages
• List running processes
• Download and execute arbitrary files
• Terminate self

ワームは、以下のWebサイトにアクセスし、情報を送受信します。

• http://{BLOCKED}.{BLOCKED}.196.225/online.htm
• http://{BLOCKED}.{BLOCKED}.171.146/default.htm
• http://{BLOCKED}.{BLOCKED}.255.16/default.htm

ダウンロード活動

ワームは、以下のWebサイトにアクセスし、不正なファイルをダウンロードして実行します。

• http://{BLOCKED}q.jigzilys.ru/calc.exe

ワームは、以下のファイル名でダウンロードしたファイルを保存します。

• %Windows%\Temp\kb599787.exe - detected as BKDR_SIMDA.USR

(註：%Windows%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、"C:\Windows" です。)

情報漏えい

ワームは、コンピュータ内に以下のFTPクライアントまたはファイルマネージャのアカウント情報が保存されている場合、これらのアカウント情報を収集します。

• 32BitFtp
• 3DFTP
• ALFTP
• BPFTP
• BitKinex
• BlazeFtp
• Bullet Proof FTP
• BulletProof FTP Client
• BulletProof FTP Client 2009
• BulletProof FTP Client 2010
• COREFTP
• CUTEFTP
• Classic FTP
• Core FTP
• CuteFTP
• CuteFTP 6 Home
• CuteFTP 6 Professional
• CuteFTP 7 Home
• CuteFTP 7 Professional
• CuteFTP 8 Home
• CuteFTP 8 Professional
• CuteFTP Lite
• CuteFTP Pro
• DeluxeFTP
• Directory Opus
• EasyFTP
• FAR Manager FTP
• FFFTP
• FTP Commander Deluxe
• FTP Commander Pro
• FTP Explorer
• FTP Navigator
• FTP Now
• FTP Surfer
• FTP++
• FTPGetter
• FTPRush
• FTPWare
• Frigate3 FTP
• GPSoftware
• GoFTP
• Ipswitch
• LEAPFTP
• LeechFTP
• P32bit FTP
• SmartFTP
• SoftX FTP
• Staff-FTP
• TurboFTP
• WS_FTP
• WinFTP
• XFTP
• FileZilla
• SecureFX
• FlashFXP
• FlashFXP
• UltraFXP

ワームは、上述のFTPクライアントおよびファイルマネージャのいずれかから、以下のアカウント情報を収集します。

• FTP User Name
• FTP Password
• FTP Server Name
• Port Number

ワームは、以下のブラウザから、ユーザ名、パスワードやホスト名といった保存された情報を収集します。

• Chrome
• Chromium
• ChromePlus
• Bromium
• Nichrome
• Comodo
• RockMelt
• CoolNovo
• ChromePlus
• Yandex

その他

ワームは、以下のファイルを作成します。

• {removable drive}:\Shortcut to game.lnk - points to malware copy {removable drive}:\game.exe