WORM_BUBLIK.GY

2013年1月18日

解析者: Mark Joseph Manahan

別名:

Trojan.Win32.Bublik.aavv (Kaspersky), VirTool:Win32/CeeInject (Microsoft)

プラットフォーム:

Windows 2000, Windows Server 2003, Windows XP (32-bit, 64-bit), Windows Vista (32-bit, 64-bit), Windows 7 (32-bit, 64-bit)

危険度:

ダメージ度:

感染力:

感染確認数:

マルウェアタイプ: ワーム
破壊活動の有無: なし
暗号化:
感染報告の有無: はい

概要

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

詳細

ファイルサイズ 303,104 bytes

タイプ EXE

発見日 2013年1月16日

侵入方法

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ワームは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

%Application Data%\{random folder found}\{filename found in %System%}

(註：%System%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では "C:\Windows\System32" です。)

ワームは、以下のファイルを作成します。

{removable drive letter}:\{random folder name}\$REChCLE.BIN
{removable drive letter}:\{random folder name}\thLmbs.db
{removable drive letter}:\{random folder name}\vagefile.sys
{removable drive letter}:\{random folder name}\desktopfini
{removable drive letter}:\{random folder name}\readme.tat

自動実行方法

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{random CLSID} = "%Application Data%\{random folder found}\{filename found in %System%}"

その他

ワームは、以下の不正なWebサイトにアクセスします。

https://{BLOCKED}ections.cc/ping.html
https://{BLOCKED}s.su/ping.html
https://{BLOCKED}s.su/files/rar.exe
https://{BLOCKED}s.su/files/vnc.dll
https://{BLOCKED}.{BLOCKED}.88.87:8890/files/010-update-vl0d3/msg.gsm