VBS_MAILFIND.A

2014年6月17日

解析者: Al Victor de Leon

別名:

Trojan-Mailfinder.VBS.GetPepe.a (Kaspersky)

プラットフォーム:

Windows 2000, Windows Server 2003, Windows XP (32-bit, 64-bit), Windows Vista (32-bit, 64-bit), Windows 7 (32-bit, 64-bit)

危険度:

ダメージ度:

感染力:

感染確認数:

情報漏えい:

マルウェアタイプ: ワーム
破壊活動の有無: なし
暗号化: なし
感染報告の有無: はい

概要

ワームは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ワームは、Ｅメールのキャッシュ、アドレス帳および受信箱から特定のＥメールアドレスを収集します。送信されたメッセージには、ワームのコピーをダウンロードする以下のリンクが記載されています。

ワームは、ダウンロードしたファイルを実行します。ワームは、上記で作成されたフォルダ内にダウンロードしたファイルを保存します。ただし、情報公開日現在、このWebサイトにはアクセスできません。

詳細

ファイルサイズ 269,728 bytes

タイプ VBS

メモリ常駐なし

発見日 2014年6月15日

侵入方法

ワームは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ワームは、以下のフォルダを作成します。

C:\temp

感染活動

ワームは、「Messaging Application Programming Interface（MAPI）」を用いてＥメール送信する機能を備えています。なお、Ｅメールのメッセージにはリンクが含まれており、リンク先のリモートサイトには、自身のコピーが組み込まれています。詳細は以下のとおりです。

Sender: {BLOCKED}te.{BLOCKED}bon3374@yahoo.de

ワームは、以下のいずれかのSMTPサーバを使用します。

SMTP Server: "mailgate.otenet.gr"
SMTP Server Port: 587
User Name: "nastia26@otenet.gr"
Password: "nat1978#"

ワームは、Ｅメールのキャッシュ、アドレス帳および受信箱から特定のＥメールアドレスを収集します。

送信されたメッセージには、ワームのコピーをダウンロードする以下のリンクが記載されています。

http://{BLOCKED}.{BLOCKED}xusercontent.com/s/uw92ooko73yincw/Documents.zip?dl=1 - Not accessible
http://{BLOCKED}.{BLOCKED}xusercontent.com/s/j7eiyij7wshwhoe/Documents.zip?dl=1 - Not accessible
http://{BLOCKED}.{BLOCKED}xusercontent.com/s/x2npx95tzmk724r/Documents.zip?dl=1 - Not accessible
http://{BLOCKED}.{BLOCKED}xusercontent.com/s/i0orsrnizec9fr0/Documents.zip?dl=1 - Not accessible
http://{BLOCKED}.{BLOCKED}xusercontent.com/s/liwvrveoh67qbnw/Documents.zip?dl=1 - Not accessible

ワームは、以下のメッセージを送信します。

Here re the required documents you asked for.
{malware download link} hyper link as Documents.zip
Keep me posted for any complaints or anything.
Thank you.

ダウンロード活動

ワームは、以下のWebサイトから自身のコピーの更新版をダウンロードします。

http://{BLOCKED}.{BLOCKED}xusercontent.com/s/uw92ooko73yincw/Documents.zip?dl=1 - Not accessible
http://{BLOCKED}.{BLOCKED}xusercontent.com/s/j7eiyij7wshwhoe/Documents.zip?dl=1 - Not accessible
http://{BLOCKED}.{BLOCKED}xusercontent.com/s/x2npx95tzmk724r/Documents.zip?dl=1 - Not accessible
http://{BLOCKED}.{BLOCKED}xusercontent.com/s/i0orsrnizec9fr0/Documents.zip?dl=1 - Not accessible
http://{BLOCKED}.{BLOCKED}xusercontent.com/s/liwvrveoh67qbnw/Documents.zip?dl=1 - Not accessible

ワームは、以下のWebサイトにアクセスし、不正なファイルをダウンロードして実行します。

http://{BLOCKED}.{BLOCKED}xusercontent.com/s/o0d1ce9toe9a9rq/clickyes.dat?dl=1 - Not accessible
http://{BLOCKED}.{BLOCKED}xusercontent.com/s/f2h777xsqv8cepb/clickyes.dat?dl=1 - Not accessible
http://{BLOCKED}.{BLOCKED}xusercontent.com/s/ui6zo977ttx7bqy/clickyes.dat?dl=1 - Not accessible
http://{BLOCKED}.{BLOCKED}xusercontent.com/s/tsv6l172jqlt0tf/clickyes.dat?dl=1 - Not accessible
http://{BLOCKED}.{BLOCKED}xusercontent.com/s/d9bt6hyvhjjwwkd/clickyes.dat?dl=1 - Not accessible
http://{BLOCKED}.{BLOCKED}xusercontent.com/s/o0d1ce9toe9a9rq/clickyes.dat?dl=1 - Not accessible
http://{BLOCKED}.{BLOCKED}xusercontent.com/s/f2h777xsqv8cepb/clickyes.dat?dl=1 - Not accessible
http://{BLOCKED}.{BLOCKED}xusercontent.com/s/ui6zo977ttx7bqy/clickyes.dat?dl=1 - Not accessible
http://{BLOCKED}.{BLOCKED}xusercontent.com/s/tsv6l172jqlt0tf/clickyes.dat?dl=1 - Not accessible
http://{BLOCKED}.{BLOCKED}xusercontent.com/s/d9bt6hyvhjjwwkd/clickyes.dat?dl=1 - Not accessible

ワームは、以下のWebサイトにアクセスして自身のコンポーネントファイルをダウンロードします。

http://{BLOCKED}.{BLOCKED}xusercontent.com/s/rxkbtjtpvzgrra4/xml.zip?dl=1 - Not accessible
http://{BLOCKED}.{BLOCKED}xusercontent.com/s/8w0ldbbf0ndb78l/xml.zip?dl=1 - Not accessible
http://{BLOCKED}.{BLOCKED}xusercontent.com/s/ubdlqx6leqy3gw8/xml.zip?dl=1 - Not accessible
http://{BLOCKED}.{BLOCKED}xusercontent.com/s/h6znwxvjs3rpvw7/xml.zip?dl=1 - Not accessible
http://{BLOCKED}.{BLOCKED}xusercontent.com/s/eclb44x6t01lxsg/xml.zip?dl=1 - Not accessible
http://{BLOCKED}.{BLOCKED}xusercontent.com/s/ywfb7lux4of25au/xml.zip?dl=1 - Not accessible
http://{BLOCKED}.{BLOCKED}xusercontent.com/s/6xm9cw2dkmo0q0k/xml.zip?dl=1 - Not accessible
http://{BLOCKED}.{BLOCKED}xusercontent.com/s/xoqbc490nurxeow/xml.zip?dl=1 - Not accessible
http://{BLOCKED}.{BLOCKED}xusercontent.com/s/ja2hb47rwkzqqo8/xml.zip?dl=1 - Not accessible
http://{BLOCKED}.{BLOCKED}xusercontent.com/s/y8lpltcjxuf81n7/xml.zip?dl=1 - Not accessible
http://{BLOCKED}.{BLOCKED}xusercontent.com/s/8zaselhbwkdw3w7/xml.zip?dl=1 - Not accessible
http://{BLOCKED}.{BLOCKED}xusercontent.com/s/xfyakmoo7gzv4j3/xml.zip?dl=1 - Not accessible
http://{BLOCKED}.{BLOCKED}xusercontent.com/s/bxlxjku6u6i5mqq/xml.zip?dl=1 - Not accessible
http://{BLOCKED}.{BLOCKED}xusercontent.com/s/gs3eq8r00yn4of8/xml.zip?dl=1 - Not accessible
http://{BLOCKED}.{BLOCKED}xusercontent.com/s/6e7xw9qrovheepd/xml.zip?dl=1 - Not accessible
http://{BLOCKED}.{BLOCKED}xusercontent.com/s/073he87wsizsn14/xml.zip?dl=1 - Not accessible
http://{BLOCKED}.{BLOCKED}xusercontent.com/s/z4jl4ckge68ly86/xml.zip?dl=1 - Not accessible
http://{BLOCKED}.{BLOCKED}xusercontent.com/s/2v5auf9b4wh1sas/xml.zip?dl=1 - Not accessible
http://{BLOCKED}.{BLOCKED}xusercontent.com/s/clw9swn6w7ez8yz/xml.zip?dl=1 - Not accessible
http://{BLOCKED}.{BLOCKED}xusercontent.com/s/yc4ju3wap4y71va/xml.zip?dl=1 - Not accessible
http://{BLOCKED}.{BLOCKED}xusercontent.com/s/l93ij60w4jsgj6e/xml.zip?dl=1 - Not accessible
http://{BLOCKED}.{BLOCKED}xusercontent.com/s/ll2ydaxt1qesxbg/xml.zip?dl=1 - Not accessible
http://{BLOCKED}.{BLOCKED}xusercontent.com/s/h5fy4kinzcqpo0e/xml.zip?dl=1 - Not accessible
http://{BLOCKED}.{BLOCKED}xusercontent.com/s/1dxzjip2h8ep2fl/xml.zip?dl=1 - Not accessible
http://{BLOCKED}.{BLOCKED}xusercontent.com/s/98yoxgz9nh00lxp/xml.zip?dl=1 - Not accessible
http://{BLOCKED}.{BLOCKED}xusercontent.com/s/r7ll4mze3xigpkb/xml.zip?dl=1 - Not accessible
http://{BLOCKED}.{BLOCKED}xusercontent.com/s/da9mznunn0kz588/xml.zip?dl=1 - Not accessible
http://{BLOCKED}.{BLOCKED}xusercontent.com/s/36gldtb1ngjhjg1/xml.zip?dl=1 - Not accessible
http://{BLOCKED}.{BLOCKED}xusercontent.com/s/h3bt7tygbf91jsm/xml.zip?dl=1 - Not accessible
http://{BLOCKED}.{BLOCKED}xusercontent.com/s/m26w3f17a8zc3tr/xml.zip?dl=1 - Not accessible
http://{BLOCKED}.{BLOCKED}xusercontent.com/s/vntfj2zc6nygvv2/xml.zip?dl=1 - Not accessible

ワームは、以下のファイル名でダウンロードしたファイルを保存します。

C:\temp\{random}.{random} - Component file
C:\temp\clickyes.exe - Malicious file

ワームは、ダウンロードしたファイルを実行します。

ワームは、上記で作成されたフォルダ内にダウンロードしたファイルを保存します。

ただし、情報公開日現在、このWebサイトにはアクセスできません。

対応方法

対応検索エンジン: 9.700

初回 VSAPI パターンバージョン 10.864.03

初回 VSAPI パターンリリース日 2014年6月15日

VSAPI OPR パターンバージョン 10.865.00

VSAPI OPR パターンリリース日 2014年6月15日

手順 1

Windows XP、Windows Vista および Windows 7 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

手順 2

Windowsをセーフモードで再起動します。

[ 詳細 ]

手順 3

以下のフォルダを検索し削除します。

[ 詳細 ]

フォルダが隠しフォルダ属性に設定されている場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。

C:\temp\

手順 4

コンピュータを通常モードで再起動し、最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、「VBS_MAILFIND.A」と検出したファイルの検索を実行してください。検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。

手順 5

最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「VBS_MAILFIND.A」と検出したファイルはすべて削除してください。検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。

ご利用はいかがでしたか？　アンケートにご協力ください