Trend Micro Security

WORM_DORKBOT.MJ

2016年11月7日
 解析者: Michael Jay Villanueva   
 プラットフォーム:

Windows

 危険度:
 ダメージ度:
 感染力:
 感染確認数:
 情報漏えい:


  • マルウェアタイプ: ワーム
  • 破壊活動の有無: なし
  • 暗号化: はい
  • 感染報告の有無: はい

  概要

感染経路 インスタントメッセンジャ（IM）を介した感染活動, インターネットからのダウンロード, リムーバブルドライブを介した感染活動

ワームは、ユーザが特定の文字列を含むWebサイトを訪問すると、ユーザの個人情報を収集するために感染コンピュータのブラウザ活動を監視します。ワームは、特定のブラウザを監視します。ワームは、バックドア機能を備えています。ワームは特定のシステムファイルを変更します。ワームは、自身を隠ぺいし、不正活動を推進するために特定のAPIをフックします。

ワームは、リムーバルドライブ内の自身のコピーに誘導するショートカットファイルを作成します。作成された.LNKファイルは、ファイル名にリムーバルドライブ内のファイル名を使用します。その後、元のフォルダを隠し属性に設定することにより、ユーザに作成したLNKファイルをクリックさせようとします。

ワームは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

ワームは、特定の文字列を含むセキュリティ対策関連Webサイトが閲覧できないようにします。

  詳細

ファイルサイズ 983,552 bytes
タイプ EXE
メモリ常駐 はい
発見日 2016年10月21日
ペイロード 情報収集, システムセキュリティへの感染活動, URLまたはIPアドレスに接続

侵入方法

ワームは、以下の方法でコンピュータに侵入します。

  • It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.
  • It arrives via removable drives.
  • It may arrive through accessing malicious IFRAME tags inserted in HTML pages.
  • It arrives via Instant Messaging applications and social networking sites.

インストール

ワームは、感染したコンピュータ内に以下のように自身のコピーを作成します。

  • %Application Data%\WindowsUpdate\mobsync.exe

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

ワームは、以下のコンポーネントファイルを作成します。

  • %User Temp%\dd.te

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

ワームは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

  • FreshLetandFet_update

自動実行方法

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
Taskman = “%Application Data%\WindowsUpdate\mobsync.exe”

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Microsoft Sync Center = “%Application Data%\WindowsUpdate\mobsync.exe”

感染活動

ワームは、すべてのリムーバブルドライブ内に以下として自身のコピーを作成します。

  • {Removable Drive Letter}:\{Random Filename}.exe

ワームは、以下のインスタントメッセンジャ（IM）を用いて、メッセージを送信します。このメッセージにはリンクが含まれており、リンク先のリモートサイトには、自身のコピーが組み込まれています。

  • Pidgin
  • Windows Live Messenger
  • MSN Messenger
  • Windows Messenger

バックドア活動

ワームは、不正リモートユーザからの以下のコマンドを実行します。

  • Join an IRC channel
  • Send private messages on IRC channel joined
  • Update self
  • Download arbitrary files
  • Send MSN Messenger messages
  • Insert iframe tags into HTML files
  • Visit arbitrary website
  • Block arbitrary DNS
  • Steal login credentials
  • Log in to FTP sites
  • Create arbitrary processes
  • Can modifies the following system files:
    • ipconfig.exe
    • verclsid.exe
    • regedit.exe
    • rundll32.exe
    • cmd.exe
    • regsvr32.exe
  • Perform DDOS attack

その他

ワームは、以下の文字列を含むセキュリティ対策関連Webサイトが閲覧できないようにします。

  • webroot
  • fortinet
  • virusbuster
  • nprotect
  • gdatasoftware
  • virus
  • precisesecurity
  • lavasoft
  • heck.tc
  • emsisoft
  • onlinemalwarescanner
  • onecare.live
  • f-secure
  • bullguard
  • clamav
  • pandasecurity
  • sophos
  • malwarebytes
  • sunbeltsoftware
  • norton
  • norman
  • mcafee
  • symantec
  • comodo
  • avast
  • avira
  • bitdefender
  • eset
  • kaspersky
  • trendmicro
  • iseclab
  • virscan
  • garyshood
  • viruschief
  • jotti
  • threatexpert
  • novirusthanks
  • virustotal
  • avg

ワームは、以下の方法でコンピュータに侵入します。

  • ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。
  • ワームは、リムーバブルドライブを介して侵入します。
  • ワームは、HTMLページに組み込まれたIFRAMEタグにアクセスすることで侵入する可能性があります。
  • ワームは、インスタントメッセンジャ（IM）およびソーシャルネットワークサイトを介して侵入します。

ワームが実行する不正リモートユーザからのコマンドは以下のとおりです。

  • IRCチャンネルへ参加
  • 参加したIRCチャンネル上でプライベートメッセージを送信
  • 自身の更新
  • 任意のファイルのダウンロード
  • インスタントメッセンジャ「MSNメッセンジャ」を利用してメッセージの送信
  • HTMLファイルへiframe タグを挿入
  • 任意のWebサイトを訪問
  • 任意のDNSをブロック
  • ログイン認証情報の収集
  • FTPサイトへログイン
  • 任意のプロセスを作成
  • 以下のシステムファイルの変更が可能
    • ipconfig.exe
    • verclsid.exe
    • regedit.exe
    • rundll32.exe
    • cmd.exe
    • regsvr32.exe
  • 「分散型サービス拒否（DDoS）攻撃」の実行

ワームは以下を実行します。

  • ワームは、ユーザが以下の文字列を含むWebサイトを訪問すると、ユーザの個人情報を収集するために感染コンピュータのブラウザ活動を監視します。
    • login[password]
    • login[username]
    • *members*.iknowthatgirl*/members*
    • *youporn.*/login*
    • *members.brazzers.com*
    • numeroTarjeta
    • *clave=*
    • *bcointernacional*login*
    • *:2222/CMD_LOGIN*
    • *whcms*dologin*
    • *:2086/login*
    • *:2083/login*
    • *:2082/login*
    • *webnames.ru/*user_login*
    • *dotster.com/*login*
    • loginid
    • *enom.com/login*
    • login.Pass
    • login.User
    • *login.Pass=*
    • *1and1.com/xml/config*
    • token
    • *moniker.com/*Login*
    • LoginPassword
    • LoginUserName
    • *LoginPassword=*
    • *namecheap.com/*login*
    • loginname
    • *godaddy.com/login*
    • Password
    • EmailName
    • *Password=*
    • *alertpay.com/login*
    • *netflix.com/*ogin*
    • *thepiratebay.org/login*
    • *torrentleech.org/*login*
    • *vip-file.com/*/signin-do*
    • *pas=*
    • *sms4file.com/*/signin-do*
    • *letitbit.net*
    • *what.cd/login*
    • *oron.com/login*
    • *filesonic.com/*login*
    • *speedyshare.com/login*
    • *pw=*
    • *uploaded.to/*login*
    • *uploading.com/*login*
    • loginUserPassword
    • loginUserName
    • *loginUserPassword=*
    • *fileserv.com/login*
    • *hotfile.com/login*
    • *4shared.com/login*
    • txtpass
    • txtuser
    • *txtpass=*
    • *netload.in/index*
    • *freakshare.com/login*
    • login_pass
    • *login_pass=*
    • *mediafire.com/*login*
    • *sendspace.com/login*
    • *megaupload.*/*login*
    • *depositfiles.*/*/login*
    • userid
    • *signin.ebay*SignIn
    • *officebanking.cl/*login.asp*
    • *secure.logmein.*/*logincheck*
    • session[password]
    • session[username_or_email]
    • *password]=*
    • *twitter.com/sessions
    • txtPassword
    • txtEmail
    • *&txtPassword=*
    • *.moneybookers.*/*login.pl
    • *runescape*/*weblogin*
    • *dyndns*/account*
    • *&password=*
    • *no-ip*/login*
    • *steampowered*/login*
    • quick_password
    • quick_username
    • username
    • *hackforums.*/member.php
    • email
    • *facebook.*/login.php*
    • *login.yahoo.*/*login*
    • passwd
    • login
    • *passwd=*
    • *login.live.*/*post.srf*
    • TextfieldPassword
    • TextfieldEmail
    • *TextfieldPassword=*
    • *gmx.*/*FormLogin*
    • *Passwd=*
    • FLN-Password
    • FLN-UserName
    • *FLN-Password=*
    • *fastmail.*/mail/*
    • *pass=*
    • *bigstring.*/*index.php*
    • screenname
    • *screenname.aol.*/login.psp*
    • password
    • loginId
    • *password=*
    • *aol.*/*login.psp*
    • Passwd
    • Email
    • *service=youtube*
    • *google.*/*ServiceLoginAuth*
    • login_password
    • login_email
    • *login_password=*
    • *paypal.*/webscr?cmd=_login-submit*
  • ワームは、以下のURLのWebサイト上のコメントボックスに投稿されたメッセージを監視し収集します。
    • comment-text
    • *bebo.*/c/home/ajax_post_lifestream_comment
    • bebo Lifestream
    • *bebo.*/c/profile/comment_post.json
    • bebo Comment
    • Message
    • *bebo.*/mail/MailCompose.jsp*
    • bebo Message
    • *friendster.*/sendmessage.php*
    • Friendster Message
    • comment
    • Friendster Comment
    • shoutout
    • *friendster.*/rpc.php
    • Friendster Shoutout
    • *vkontakte.ru/mail.php
    • vkontakte Message
    • *vkontakte.ru/wall.php
    • vkontakte Wall
    • message
    • *vkontakte.ru/api.php
    • vkontakte Chat
    • *twitter.*/*direct_messages/new*
    • Twitter Message
    • *twitter.*/*status*/update*
    • Twitter Tweet
    • status
    • *facebook.*/ajax/*MessageComposerEndpoint.php*
    • Facebook Message
    • msg_text
    • *facebook.*/ajax/chat/send.php*
    • Facebook IM
  • ワームは、リムーバルドライブ内の自身のコピーに誘導するショートカットファイルを作成します。作成された.LNKファイルは、ファイル名にリムーバルドライブ内のファイル名を使用します。その後、元のフォルダを隠し属性に設定することにより、ユーザに作成したLNKファイルをクリックさせようとします。

  • ワームは以下のブラウザを監視します。
    • Flock
    • Opera
    • Google Chrome
    • Internet Explorer
    • Mozilla Firefox

ワームは、"smss.exe"および"lsass.exe"を除く実行中のすべてのプロセスに組み込まれ、メモリに常駐します。

ワームは、以下のURLに接続し、不正リモートユーザからのコマンドを送受信します。

  • update.{BLOCKED}llowindexhotel.ru:3003
  • update.{BLOCKED}rp.ru:5613
  • update.{BLOCKED}ac.ru:5580
  • update.{BLOCKED}to.ru:8771
  • update.{BLOCKED}eq.ru:5755
  • update.{BLOCKED}wm.ru:9638
  • update.{BLOCKED}uz.ru:4168
  • update.{BLOCKED}dk.ru:9917
  • update.{BLOCKED}wr.ru:6009
  • update.{BLOCKED}ij.ru:6853
  • update.{BLOCKED}zk.ru:8649
  • update.{BLOCKED}uy.ru:4244
  • update.{BLOCKED}bq.ru:8409
  • update.{BLOCKED}iu.ru:8050
  • update.{BLOCKED}cr.ru:4723
  • update.{BLOCKED}wi.ru:1489
  • update.{BLOCKED}vt.ru:2759
  • update.{BLOCKED}cz.ru:3711
  • update.{BLOCKED}kh.ru:3408
  • update.{BLOCKED}uk.ru:9782
  • update.{BLOCKED}vv.ru:3157
  • update.{BLOCKED}sf.ru:2941
  • update.{BLOCKED}pa.ru:9787
  • update.{BLOCKED}yb.ru:2551
  • update.{BLOCKED}mm.ru:9347
  • update.{BLOCKED}nh.ru:3539
  • update.{BLOCKED}bb.ru:2855
  • update.{BLOCKED}pa.ru:5795
  • update.{BLOCKED}nh.ru:3958
  • update.{BLOCKED}mn.ru:5066
  • update.{BLOCKED}uk.ru:5530
  • update.{BLOCKED}qy.com:9829
  • update.{BLOCKED}fs.com:7112
  • update.{BLOCKED}kl.com:1151
  • update.{BLOCKED}fe.com:8078
  • update.{BLOCKED}bx.com:5255
  • update.{BLOCKED}oo.ru:1832
  • update.{BLOCKED}ky.ru:3156
  • update.{BLOCKED}mj.ru:8899
  • update.{BLOCKED}rr.ru:5764
  • update.{BLOCKED}pt.ru:8966
  • update.{BLOCKED}at.ru:6777
  • update.{BLOCKED}sa.ru:6295
  • update.{BLOCKED}mr.ru:3182
  • update.{BLOCKED}ra.ru:2539
  • update.{BLOCKED}sa.ru:2015
  • update.{BLOCKED}uz.ru:1446
  • update.{BLOCKED}vz.ru:5418
  • update.{BLOCKED}kd.ru:2400
  • update.{BLOCKED}yl.ru:5138
  • update.{BLOCKED}mw.ru:7216
  • update.{BLOCKED}mz.ru:5054
  • update.{BLOCKED}ec.ru:5997
  • update.{BLOCKED}ik.ru:4470
  • update.{BLOCKED}lg.ru:7308
  • update.{BLOCKED}fb.ru:7386
  • update.{BLOCKED}ku.ru:2153
  • update.{BLOCKED}wu.ru:5327
  • update.{BLOCKED}xu.ru:2078
  • update.{BLOCKED}dq.ru:7073
  • update.{BLOCKED}gd.ru:8656
  • update.{BLOCKED}hg.ru:2108
  • update.{BLOCKED}lk.ru:5326
  • update.{BLOCKED}xx.ru:5613
  • update.{BLOCKED}zd.ru:5836
  • update.{BLOCKED}bc.ru:7325
  • update.{BLOCKED}bn.ru:7323
  • update.{BLOCKED}lq.ru:2200
  • update.{BLOCKED}bl.ru:6108
  • update.{BLOCKED}oz.ru:5337
  • update.{BLOCKED}qq.ru:8768
  • update.{BLOCKED}ut.ru:4533
  • update.{BLOCKED}qm.ru:1021
  • update.{BLOCKED}um.ru:2816
  • update.{BLOCKED}dc.ru:8862
  • update.{BLOCKED}ki.ru:4264
  • update.{BLOCKED}mj.ru:9065
  • update.{BLOCKED}vy.ru:8745
  • update.{BLOCKED}hb.ru:6267
  • update.{BLOCKED}ra.ru:7422
  • update.{BLOCKED}fd.ru:3313
  • update.{BLOCKED}dx.ru:7609
  • update.{BLOCKED}xw.ru:7837
  • update.{BLOCKED}ys.ru:6357
  • update.{BLOCKED}ih.ru:3729
  • update.{BLOCKED}mw.ru:6302
  • update.{BLOCKED}md.ru:7109
  • update.{BLOCKED}fz.ru:2036
  • update.{BLOCKED}vi.ru:6788
  • update.{BLOCKED}sy.ru:2233
  • update.{BLOCKED}dm.ru:6310
  • update.{BLOCKED}nb.ru:4014
  • update.{BLOCKED}re.ru:2801
  • update.{BLOCKED}md.ru:1418
  • update.{BLOCKED}zq.ru:1974
  • update.{BLOCKED}iv.ru:1966
  • update.{BLOCKED}eb.ru:3829
  • update.{BLOCKED}ki.ru:8529
  • update.{BLOCKED}au.ru:1078
  • update.{BLOCKED}xw.ru:5857
  • update.{BLOCKED}xz.ru:7420
  • update.{BLOCKED}px.ru:9689
  • update.{BLOCKED}fd.ru:8510
  • update.{BLOCKED}lf.com:3444
  • update.{BLOCKED}ca.com:8370
  • update.{BLOCKED}ib.com:8916
  • update.{BLOCKED}zh.com:8021
  • update.{BLOCKED}ax.com:1287
  • update.{BLOCKED}fj.com:1166
  • update.{BLOCKED}kb.com:5687
  • update.{BLOCKED}yb.com:6422
  • update.{BLOCKED}ct.com:3150
  • update.{BLOCKED}au.com:3123
  • update.{BLOCKED}jp.com:4410
  • update.{BLOCKED}ri.com:4232
  • update.{BLOCKED}xe.com:4863
  • update.{BLOCKED}zk.com:8975
  • update.{BLOCKED}gy.com:1039
  • update.{BLOCKED}za.com:4681
  • update.{BLOCKED}zy.com:8834
  • update.{BLOCKED}jh.com:7685
  • update.{BLOCKED}vk.com:9251
  • update.{BLOCKED}rd.com:3775

ワームは、ルートキット機能を備えていません。

ワームは、脆弱性を利用した感染活動を行いません。

  対応方法

対応検索エンジン: 9.800

手順 1

Windows XP、Windows Vista および Windows 7 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

手順 2

このマルウェアもしくはアドウェア等の実行により、手順中に記載されたすべてのファイル、フォルダおよびレジストリキーや値がコンピュータにインストールされるとは限りません。インストールが不完全である場合の他、オペレーティングシステム（OS）の条件によりインストールがされない場合が考えられます。手順中に記載されたファイル／フォルダ／レジストリ情報が確認されない場合、該当の手順の操作は不要ですので、次の手順に進んでください。

手順 3

Windowsをセーフモードで再起動します。

[ 詳細 ]

手順 4

このレジストリ値を削除します。

[ 詳細 ]

警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。

  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
    • Taskman = “%Application Data%\WindowsUpdate\mobsync.exe”
  • In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
    • Microsoft Sync Center = “%Application Data%\WindowsUpdate\mobsync.exe”

手順 5

  1. コマンドプロンプトを起動します。
    • Windows 2000、XP および Server 2003 の場合：
      [スタート]-[ファイル名を指定して実行]を選択し、cmd と入力し、Enter を押します。
    • Windows Vista、7、Server 2008 の場合：
      [スタート]をクリックし、検索入力欄に cmd と入力し、Enter を押します。
    • Windows 8、8.1 および Server 2012 の場合：
      [スタート]-[プログラムとファイルの検索]に cmd と入力し、Enter を押します。画面の左下隅を右クリックし、[コマンド プロンプト]を選択します。
      ※cmd は半角英数字で入力する必要があります（大文字／小文字は区別されません）。
  2. コンソールウィンドウに以下を入力します。

    3. ATTRIB [+R | -R] [+A | -A ] [+S | -S] [+H | -H] [+I | -I] [ドライブ:][パス][ファイル名] [/S [/D] [/L]]

    各コマンドの意味は以下のとおりです。
    +：属性の設定
    -：属性の解除
    R：読み取り専用属性
    A：アーカイブ属性
    S：システムファイル属性
    H：隠しファイル属性
    I：非インデックス対象ファイル属性
    [drive:][path][filename]
    [ドライブ:][パス][ファイル名]：attribで処理するファイルの指定
    /S：現在のフォルダとすべてのサブフォルダ内で一致するファイルの処理
    /D：フォルダも処理
    /L：Symbolic Link（シンボリックリンク）のターゲットに対するシンボリックリンク属性での動作

    コマンド例：
    Dドライブ内のサブフォルダを含むすべてのフォルダおよびファイルの隠しファイル属性を解除する場合。
    • ATTRIB -H D:\* /S /D
  3. 他のドライブやディレクトリ内のフォルダおよびファイルに対して、手順 3.）を繰り返してください。

手順 6

以下のファイルを検索し削除します。

[ 詳細 ]
コンポーネントファイルが隠しファイル属性に設定されている場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。
  • {removable drive letter}:\{folder or file name of existing files}.lnk
  • %User Temp%\dd.te

手順 7

コンピュータを通常モードで再起動し、最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、「WORM_DORKBOT.MJ」と検出したファイルの検索を実行してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。


ご利用はいかがでしたか？　アンケートにご協力ください