WORM_SLENFBOT.LH

ワームは、リムーバブルドライブを介してコンピュータに侵入します。 ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。

ワームは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

ワームは、情報収集する機能を備えていません。

侵入方法

ワームは、リムーバブルドライブを介してコンピュータに侵入します。

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ワームは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %System%\wmphb32.exe (with Admin Rights)
• %User Profile%\Network\wmphb32.exe (without Admin Rights)

(註：%System%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\System"、Windows NT および 2000 の場合、"C:\WinNT\System32"、Windows XP および Server 2003 の場合、"C:\Windows\System32" です。. %User Profile% フォルダは、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞"、Windows NTでは、"C:\WINNT\Profiles\＜ユーザ名＞"、Windows 2000, XP, Server 2003の場合は、"C:\Documents and Settings\＜ユーザ名＞" です。)

ワームは、以下のフォルダを作成します。

• %User Profile%\Network - (without Admin Rights)

(註：%User Profile% フォルダは、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞"、Windows NTでは、"C:\WINNT\Profiles\＜ユーザ名＞"、Windows 2000, XP, Server 2003の場合は、"C:\Documents and Settings\＜ユーザ名＞" です。)

ワームは、以下のプロセスにコードを組み込みます。

• explorer.exe

自動実行方法

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
Windows Host Network = "%System%\wmphb32.exe" (with Admin Rights)

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
Windows Host Network = "%User Profile%\Network\wmphb32.exe" (without Admin Rights)

他のシステム変更

ワームは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\AppCompatFlags (without Admin Rights)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\AppCompatFlags (with Admin Rights)

ワームは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\DomainProfile\AuthorizedApplications\
List
%User Profile%\Network\wmphb32.exe = "%User Profile%\Network\wmphb32.exe:*:Windows Host Network" (without Admin Rights)

HKEY_CURRENT_USER\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\AuthorizedApplications\
List
%User Profile%\Network\wmphb32.exe = "%User Profile%\Network\wmphb32.exe:*:Windows Host Network" (without Admin Rights)

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\AppCompatFlags\
Layers
%User Profile%\Network\wmphb32.exe = "DisableNXShowUI" (without Admin Rights)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\AppCompatFlags\
Layers
%System%\wmphb32.exe = "DisableNXShowUI" (with Admin Rights)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\DomainProfile\AuthorizedApplications\
List
%System%\wmphb32.exe = "%System%\wmphb32.exe:*:Windows Host Network" (with Admin Rights)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\AuthorizedApplications\
List
%System%\wmphb32.exe = "%System%\wmphb32.exe:*:Windows Host Network" (with Admin Rights)

感染活動

ワームは、すべてのリムーバブルドライブ内に以下のフォルダを作成します。

• {drive letter}:\SysRom.{645FF040-5081-101B-9F08-00AA002F954E}

ワームは、すべてのリムーバブルドライブ内に以下として自身のコピーを作成します。

• {drive letter}:\drvmon64.exe

ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。

上記INFファイルには、以下の文字列が含まれています。

[Autorun]
open=drvmon64.exe
icon=%windir%\system32\SHELL32.dll,3
action=Open thumbdrives to browse files.
shell\open=Open
shell\open\command=drvmon64.exe
shell\open\default=1
useautoplay=1

バックドア活動

ワームは、以下のいずれかのIRCサーバに接続します。

• {BLOCKED}6.{BLOCKED}rog.su
• {BLOCKED}4.{BLOCKED}ore.su
• {BLOCKED}8.{BLOCKED}ore.su
• {BLOCKED}6.{BLOCKED}ore.su
• {BLOCKED}0.{BLOCKED}ore.su

ワームは、不正リモートユーザからの以下のコマンドを実行します。

• Create/Open/Delete Files
• Create/Terminate Process
• Download/Upload files
• Join IRC

ダウンロード活動

ワームは、以下のWebサイトにアクセスし、ファイルをダウンロードします。

• http://{BLOCKED}0.{BLOCKED}ackupsrv.su/net/5x2.zip - As of this writing, the server is still accessible but the file was already removed.

情報漏えい

ワームは、情報収集する機能を備えていません。

その他

ワームは、以下のWebサイトにアクセスして感染コンピュータのIPアドレスを収集します。

• http://www.whatismyip.org

ワームが作成する自身のコピーは以下のとおりです。

管理者権限を保有している場合

• %System%\wmphb32.exe

管理者権限を保有していない場合

• %User Profile%\Network\wmphb32.exe

ワームが実行するコマンドは以下のとおりです。

• ファイルの作成／実行／削除
• プロセスの追加／終了
• ファイルのダウンロード／アップロード
• IRCに参加

ワームがファイルをダウンロードするWebサイト「http://{BLOCKED}0.{BLOCKED}ackupsrv.su/net/5x2.zip」は情報公開日現在もアクセス可能ですが、ファイルは既に存在していません。

ワームは、リムーバブルドライブ内に以下のファイルを作成します。

• {drive letter}:\acm{number}.lnk
• {drive letter}:\i.cpl – 「TROJ_STARTER.CM」として検出

ワームは、IRCサーバにログインする際に以下の認証情報を利用します。

• ニックネーム: ＜国＞|X-672|0|＜OS＞|＜数値＞
• ユーザ: SPX
• パスワード: su1c1d3

ワームは、実行中の以下のプロセスを終了します。

• teatimer.exe
• mrt.exe
• mrtstub.exe
• tcpview.exe
• hijackthis.exe
• msmpeng.exe
• msascui.exe
• mpcmdrun.exe
• usbguard.exe
• billy.exe
• aadrive32.exe

ワームは、以下の条件に一致すると、自身を終了し削除します。

１. ファイル名に以下のいずれかの文字を含む場合：

• malware
• sample
• sand-box
• sandbox
• test
• virus

２. 感染コンピュータのコンピュータ名が以下のいずれかの場合：

• MORTE
• VMG-CLIENT
• Malekal
• HOME-OFF-D5F0AC
• DELL-D3E62F7E26
• KAKAPROU-6405DA

３. 感染コンピュータ内で以下のいずれかのユーザ名を確認した場合：

• morte
• vmg-client
• malekal
• home-off-d5f0ac
• dell-d3e62f7e26
• kakaprou-6405da
• klasnich

４. 以下のレジストリの値を列挙し、以下の仮想環境を確認した場合：

• HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Disk\Enum
• vmware
• vbox
• Virtual
• qemu

５. メモリ上で以下のファイルのいずれかが実行されていかを確認し、仮想環境で実行されている場合：

• cports.exe
• dumpcap.exe
• filemon.exe
• procdump.exe
• procexp.exe
• procmon.exe
• regmon.exe
• regshot.exe
• sbiectrl.exe
• squid.exe
• syssafe.exe
• tcpview
• vbox
• vmsrvc
• vmware
• wireshark.exe

６. 開いているウィンドウやクラスを確認し、以下のいずれかを含んでいる場合：

• CurrPorts
• Microsoft Network Monitor 3.3
• Process Monitor - Sysinternals: www.sysinternals.com
• PROCEXPL
• Regshot 1.8.2
• SmartSniff
• TCPViewClass
• The Wireshark Network Analyzer

７. 以下のファイルが存在する場合：

• %Program Files%\Ethereal\ethereal.html
• %Program Files%\Microsoft Network Monitor 3\netmon.exe
• %Program Files%\WinPcap\rpcapd.exe
• %Program Files%\WireShark\rawshark.exe

ワームは、TCPポート6303番を利用してIRCサーバに接続します。

ワームは、プロキシサーバに対して特定のコマンドは利用しません。ただし、ユーザが自身のプロキシサーバを所有している場合、ダウンロード先のURLにアクセスする可能性があります。プロキシサーバはHTTPリクエストを解釈できるためです。

ワームは、ルートキット機能を備えていません。

ワームは、脆弱性を利用した感染活動を行いません。