WORM_ONLINEG.M

ワームは、感染リムーバブルドライブを接続することにより、コンピュータに侵入します。 ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。

ワームは、バックドア活動の機能を備えていません。

ワームは、ダウンロードしたファイルを実行します。 ただし、情報公開日現在、このWebサイトにはアクセスできません。

ワームは、特定のオンラインゲームで用いられるユーザ名およびパスワードなどの個人情報を収集します。収集された情報は、サイバー犯罪者に悪用される恐れがあります。

ワームは、イベントを作成します。 ただし、情報公開日現在、このWebサイトにはアクセスできません。 ワーム マルウェアは、自身（コンピュータに侵入して最初に自身のコピーを作成した ワーム ）を削除します。

侵入方法

ワームは、感染リムーバブルドライブを接続することにより、コンピュータに侵入します。

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ワームは、以下のファイルを作成し実行します。

• %System%\ahnxsds0.dll
• %System%\ahnfgss0.dll

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

ワームは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %System%\ahnsbsb.exe

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

ワームは、以下のプロセスを追加します。

• iexplore.exe

ワームは、以下のプロセスに自身を組み込み、システムのプロセスに常駐します。

• explorer.exe
• created iexplore.exe

自動実行方法

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
ahnsoft = "%System%\ahnsbsb.exe"

他のシステム変更

ワームは、以下のファイルを改変します。

• %System%\drivers\cdaudio.sys

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

ワームは、以下のレジストリキーを追加します。

HKEY_CLASSES_ROOT\CLSID\MADOWN

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\MADOWN

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\AVPsys

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\AVPsys\Enum

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\AVPsys\Security

ワームは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\AVPsys
Type = "1"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\AVPsys
Start = "3"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\AVPsys
ErrorControl = "1"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\AVPsys
ImagePath = "\??\%System%\drivers\cdaudio.sys"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\AVPsys
DisplayName = "AVPsys"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\AVPsys\Enum
Count = "0"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\AVPsys\Enum
NextInstance = "0"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\AVPsys\Enum
INITSTARTFAILED = "1"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\AVPsys\Security
Security = "{hex value}"

ワームは、以下のレジストリ値を変更し、隠しファイル属性のファイルを非表示にします。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
Hidden = "2"

(註：変更前の上記レジストリ値は、「"1"」となります。)

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
ShowSuperHidden = "0"

(註：変更前の上記レジストリ値は、「"1"」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced\Folder\Hidden\
SHOWALL
CheckedValue = "0"

(註：変更前の上記レジストリ値は、「"1"」となります。)

感染活動

ワームは、すべての物理ドライブおよびリムーバブルドライブ内に以下として自身のコピーを作成します。

• {drive letter}:\a63grox.com

ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。

上記INFファイルには、以下の文字列が含まれています。

[AutoRun]
open=a63grox.com
shell\open\Command=a63grox.com

バックドア活動

ワームは、バックドア活動の機能を備えていません。

ダウンロード活動

ワームは、以下のWebサイトにアクセスし、ファイルをダウンロードします。

• http://{BLOCKED}fd.com/xhg2/ll1.rar

ワームは、以下のファイル名でダウンロードしたファイルを保存します。

• %User Temp%\ll1.rar

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

ワームは、ダウンロードしたファイルを実行します。

ただし、情報公開日現在、このWebサイトにはアクセスできません。

情報漏えい

ワームは、特定のゲームで用いられるユーザ名およびパスワードなどの個人情報を収集します。

情報収集

ワームは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

• http://{BLOCKED}8.com/hhz/hc3/lin.asp
• http://{BLOCKED}8.com/hhz/hts/lin.asp
• http://{BLOCKED}8.com/xhg/dhh/lin.asp
• http://{BLOCKED}8.com/xhg/hrk/lin.asp

その他

ワームは、タイトルバーに以下の文字列を含むアプリケーションのウィンドウを閉じます。

• AVP.Product_Notification
• AVP.AlertDialog
• AVP.Product_Notification
• AVP.AlertDialog

ワームは、以下のイベントを作成します。

• VBNMKLOOPWERUMNSOPDFGHKDQ_MN
• MN_XADLEBCBAXCSDFGEWQCDDD0

ただし、情報公開日現在、このWebサイトにはアクセスできません。

ワーム は、自身（コンピュータに侵入して最初に自身のコピーを作成した ワーム ）を削除します。

ワームは、以下のレジストリ値の数値から、コンピュータの言語を確認します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Nls\Language
InstallLanguage = "{number}"

上記の数値が“0804”（中国語）の場合、ワームは自身の不正活動を行いません。

ワームは、以下のレジストリキーの有無を確認します。

HKEY_LOCAL_MACHINE\SOFTWARE\KasperskyLab\protected\AVP7\profiles\Updater

上記のレジストリキーが存在する場合、ワームは以下のレジストリ値を作成し、特定のセキュリティ対策製品の更新をを無効化します。

HKEY_LOCAL_MACHINE\SOFTWARE\KasperskyLab\protected\AVP7\profiles\Updater enabled = "0"

ワームは、以下のセキュリティ対策関連のプロセスがメモリ内に常駐しているかを確認します。

• ALUSCHEDULERSVC.EXE
• ASHDISP.EXE
• AVGNT.EXE
• AVGRSX.EXE
• AVP.EXE
• AYAGENT.AYE
• CCSVCHST.EXE
• LIVESRV.EXE
• UFSEAGNT.EXE
• VCRMON.EXE
• VSTSKMGR.EXE

ワームは、上記ファイルが位置するフォルダを検索した後、確認されたセキュリティ対策プロセスの以下のコンポーネントファイルを検索します。

• avast.setup
• avgupd.exe
• AYUpdate.aye
• luall.exe
• mcupdate.exe
• preupd.exe
• prupdate.ppl
• setup.ovr
• SfFnUp.exe
• UfUpdUi.exe
• Update.exe
• vsupdate.dll

ワームは、前述のフォルダから以下の拡張子のファイルを検索します。

• .DLL
• .EXE

ワームは、コンピュータのルートフォルダで検索したファイルを移動し、ファイル名を“{file name}.{extension}.vcd”に変更します。

ワームは、以下の文字列を含むメモリ内のプロセスおよびサービスを監視し、オンラインゲーム関連のユーザ名およびパスワード等の認証情報を窃取します。

• agexe.exe
• Altair(Non-PvP)
• app.dll
• coc.exe
• Forthgoer
• Leu
• lin.bin
• PlayOnline ID :
• pol.exe
• polcore.dll
• Ragexe.exe
• shlwapi.dll

感染コンピュータに以下のファイルが存在する場合、ワームは、ファイルから情報を窃取します。

• aaa.dat

ワームは、以下のURL、プロセスおよびレジストリキーを監視し“Yahoo! Japan”の認証情報を窃取します。

• https://login.yahoo.co.jp/config/login_verify2?.src=ym
• https://login.yahoo.co.jp/config/login?
• YPagerj.exe
• YahooWidgetEngine.exe
• \Software\YahooJapan

ワームは、ルートキット機能を備えていません。

ワームは、脆弱性を利用した感染活動を行いません。