WORM_SDBOT.MAL

ワームは、リムーバブルドライブを介してコンピュータに侵入します。 ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

ワームは、リムーバブルドライブを介してコンピュータに侵入します。

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ワームは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Windows%\system\slass.exe

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

ワームは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• rtkjhi4568h96894H3G8H38958934hy9t3h498hy548hgmnhnf,ggsdfg4ww3333...

自動実行方法

ワームは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\netmanlr
ObjectName = LocalSystem

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\netmanlr
Description = "Manage Local and Remote Network Connections Services. If this service is stopped, protected content might not be down loaded to the device."

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\netmanlr
ImagePath = "%Windows%\system\slass.exe"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\netmanlr
DisplayName = Network Connections Manage

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\netmanlr
Start = "2"

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Shell Extensions
systemxstuff = "{Malware path}\{Malware name}.exe"

他のシステム変更

ワームは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile
EnableFirewall = "0"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\wscsvc
Start = "4"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\wuauserv
Start = "4"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess
Start = "2"

感染活動

ワームは、すべてのリムーバブルドライブ内に以下のフォルダを作成します。

• {Removable drive letter except A and B}:\RECYCLER\S-1-6-21-2434476501-1644491937-600003330-1213

ワームは、すべてのリムーバブルドライブ内に以下として自身のコピーを作成します。

• {Removable drive letter except A and B}:\RECYCLER\S-1-6-21-2434476501-1644491937-600003330-1213\autorunme.exe

ワームは、以下のユーザ名およびパスワードを用いて、パスワード保護された共有フォルダにアクセスします。

• "administrator"
• "administrador"
• "administrateur"
• "administrat"
• "admins"
• "admin"
• "adm"
• "password1"
• "password"
• "passwd"
• "pass1234"
• "pass"
• "pwd"
• "007"
• "12"
• "123"
• "1234"
• "12345"
• "123456"
• "1234567"
• "12345678"
• "123456789"
• "1234567890"
• "2000"
• "2001"
• "2002"
• "2003"
• "2004"
• "test"
• "guest"
• "none"
• "demo"
• "unix"
• "linux"
• "changeme"
• "default"
• "system"
• "server"
• "root"
• "null"
• "qwerty"
• "mail"
• "outlook"
• "web"
• "www"
• "internet"
• "accounts"
• "accounting"
• "home"
• "homeuser"
• "user"
• "oem"
• "oemuser"
• "oeminstall"
• "windows"
• "win98"
• "win2k"
• "winxp"
• "winnt"
• "win2000"
• "qaz"
• "asd"
• "zxc"
• "qwe"
• "bob"
• "jen"
• "joe"
• "fred"
• "bill"
• "mike"
• "john"
• "peter"
• "luke"
• "sam"
• "sue"
• "susan"
• "peter"
• "brian"
• "lee"
• "neil"
• "ian"
• "chris"
• "eric"
• "george"
• "kate"
• "bob"
• "katie"
• "mary"
• "login"
• "loginpass"
• "technical"
• "backup"
• "exchange"
• "fuck"
• "bitch"
• "slut"
• "sex"
• "god"
• "hell"
• "hello"
• "domain"
• "domainpass"
• "domainpassword"
• "database"
• "access"
• "dbpass"
• "dbpassword"
• "databasepass"
• "data"
• "databasepassword"
• "db1"
• "db2"
• "db1234"
• "sa"
• "sql"
• "sqlpassoainstall"
• "orainstall"
• "oracle"
• "ibm"
• "cisco"
• "dell"
• "compaq"
• "siemens"
• "hp"
• "nokia"
• "xp"
• "control"
• "office"
• "blank"
• "winpass"
• "main"
• "lan"
• "internet"
• "intranet"
• "student"
• "teacher"
• "staff"

バックドア活動

ワームは、以下のいずれかのIRCサーバに接続します。

• oak.{BLOCKED}me.net
• {BLOCKED}.{BLOCKED}.179.100
• ringc.{BLOCKED}led.net
• {BLOCKED}arc.{BLOCKED}e.st
• gloves.{BLOCKED}o.org
• picc.{BLOCKED}s.net
• oak.{BLOCKED}me.net
• helms.{BLOCKED}o.org
• sandtp.{BLOCKED}nkiller.com
• computercc.{BLOCKED}list.com
• headmefc.{BLOCKED}As.com
• onthebreak.{BLOCKED}s.com

ワームは、以下のいずれかのIRCチャンネルに接続します。

• #naga2

ワームは、リモートでInternet Relay Chat （IRC）サーバにアクセスし、不正リモートユーザから以下のコマンドを受信します。

• Terminate itself
• Leave/join IRC channel
• Terminate itself
• Get list of currently running command threads
• Create/terminate threads
• Start/stop ddos attacks:
  • udp flood
  • tcp flood
  • icmp flood
  • bandwidth flood
  • syn flood
• Perform ping command
• Visit websites using Internet Explorer
• Patches %System%\drivers\tcpip.sys as itself
  (Note: %System% is the Windows system folder, which is usually C:\Windows\System32. For 32-bit applications running under 64-bit system, this is usually C:\Windows\SysWOW64.)
• Perform IRC commands
• Gathers information of the affected system:
  • hostname
  • host address
• Make an affected system the IRC server
• Flush DNS cache
• Get the IP address of the affected system using the following urls:
  • http://checkip.dyndns.org
  • http://checkip.dyndns.com
  • http://checkip.dyndns.org:8245
  • http://checkrealip.com
  • http://www.ip138.com/ips8.asp
  • http://www.canaan-it.net
• Scan for open ports either sequentially or randomly
• Adds/Deletes user in network Administrator group

作成活動

ワームは、以下のファイルを作成します。

• {Removable drive letter except A and B}:\autorun.inf
• {Removable drive letter except A and B}:\RECYCLER\S-1-6-21-2434476501-1644491937-600003330-1213\Desktop.ini

情報漏えい

ワームは、以下の情報を収集します。

• OS Version Info
• OS Service Pack
• OS Locale Info
• Computer Name

その他

ワームは、自身のIRCサーバにアクセスする際に以下の認証情報を利用します。

• USER: "{OS Service Pack}-{3 random numbers} * 0 :{Computer Name}"
• NICK: "{LocaleInfo}|{OS Version}|{OS Service Pack}|{6 random numbers}"
• PASS: ""