WORM_DORKBOT.XXSN
Windows
- マルウェアタイプ: ワーム
- 破壊活動の有無: なし
- 暗号化: はい
- 感染報告の有無: はい
概要
ワームは、ユーザが特定の文字列を含むWebサイトを訪問すると、ユーザの個人情報を収集するために感染コンピュータのブラウザ活動を監視します。ワームは、特定のブラウザを監視します。ワームは、バックドア機能を備えています。ワームは特定のシステムファイルを変更します。ワームは、自身を隠ぺいし、不正活動を推進するために特定のAPIをフックします。
ワームは、リムーバルドライブ内の自身のコピーに誘導するショートカットファイルを作成します。作成された.LNKファイルは、ファイル名にリムーバルドライブ内のファイル名を使用します。その後、元のフォルダを隠し属性に設定することにより、ユーザに作成したLNKファイルをクリックさせようとします。
ワームは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。
ワームは、特定の文字列を含むセキュリティ対策関連Webサイトが閲覧できないようにします。 ワーム マルウェアは、自身（コンピュータに侵入して最初に自身のコピーを作成した ワーム ）を削除します。
詳細
侵入方法
ワームは、以下の方法でコンピュータに侵入します。
- It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.
- It arrives via removable drives.
- It may arrive through accessing malicious IFRAME tags inserted in HTML pages.
- It arrives via Instant Messaging and Social Networking sites
インストール
ワームは、感染したコンピュータ内に以下のように自身のコピーを作成します。
- %Application Data%\Microsoft\Windows\Themes\{random filename}.exe
- %Application Data%\WindowsUpdate\Updater.exe
- %Application Data%\Update\Explorer.exe
- %Application Data%\Update\Update.exe
- %Application Data%\c731200
(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)
ワームは、以下のコンポーネントファイルを作成します。
- %User Temp%\c731200
(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)
ワームは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。
- -9caf4c3fMutex
自動実行方法
ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。
HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Windows Update Installer = "%Application Data%\WindowsUpdate\Updater.exe"
HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{random filename} = "%Application Data%\Microsoft\Windows\Themes\{random filename}.exe"
感染活動
ワームは、すべてのリムーバブルドライブ内に以下として自身のコピーを作成します。
- {removable drive letter}:\{random filename}.exe
ワームは、以下のインスタントメッセンジャ（IM）を用いて、メッセージを送信します。このメッセージにはリンクが含まれており、リンク先のリモートサイトには、自身のコピーが組み込まれています。
- Pidgin
- Windows Live Messenger
- MSN Messenger
- Windows Messenger
バックドア活動
ワームは、不正リモートユーザからの以下のコマンドを実行します。
- Join an IRC channel
- Send private messages on IRC channel joined
- Update self
- Download arbitrary files
- Send MSN Messenger messages
- Insert iframe tags into HTML files
- Visit arbitrary website
- Block arbitrary DNS
- Steal login credentials
- Log in to FTP sites
- Create arbitrary processes
- Can modifies the following system files:
- ipconfig.exe
- verclsid.exe
- regedit.exe
- rundll32.exe
- cmd.exe
- regsvr32.exe
- Perform DDOS attack
ワームは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。
- {BLOCKED}.{BLOCKED}.28.198:3720
- {BLOCKED}.{BLOCKED}.99.243:3720
- n.{BLOCKED}ahr.com
- n.{BLOCKED}hcr.com
- n.{BLOCKED}noh.com
- n.{BLOCKED}nod.ru
- n.{BLOCKED}kqj.ru
- n.{BLOCKED}yxd.ru
- n.{BLOCKED}wrl.com
- n.{BLOCKED}dbf.ru
- n.{BLOCKED}lcr.ru
- n.{BLOCKED}jxo.com
- n.{BLOCKED}ysh.ru
- n.{BLOCKED}fdx.ru
- n.{BLOCKED}vcy.com
- n.{BLOCKED}tsx.ru
- n.{BLOCKED}khq.com
- n.{BLOCKED}vnf.com
- n.{BLOCKED}icx.ru
- n.{BLOCKED}tse.com
- n.{BLOCKED}duf.ru
- n.{BLOCKED}cxh.com
- n.{BLOCKED}imx.ru
- n.{BLOCKED}pts.com
- n.{BLOCKED}cqs.ru
- n.{BLOCKED}ysj.com
- n.{BLOCKED}dct.com
- n.{BLOCKED}kcb.ru
- n.{BLOCKED}kfu.com
- n.{BLOCKED}vnx.com
- n.{BLOCKED}nwc.com
- n.{BLOCKED}qaa.com
- n.{BLOCKED}dma.com
- n.{BLOCKED}jxl.ru
- n.{BLOCKED}xax.com
- n.{BLOCKED}rnt.ru
- n.{BLOCKED}xbf.ru
- n.{BLOCKED}rdo.com
- n.{BLOCKED}bcw.ru
- n.{BLOCKED}qiv.ru
- n.{BLOCKED}rzu.ru
- n.{BLOCKED}djz.ru
- n.{BLOCKED}wgy.ru
- n.{BLOCKED}ips.com
- n.{BLOCKED}thi.com
- n.{BLOCKED}gks.ru
- n.{BLOCKED}uve.ru
- n.{BLOCKED}irg.ru
- n.{BLOCKED}tul.ru
- n.{BLOCKED}ruc.ru
- n.{BLOCKED}lyd.com
- n.{BLOCKED}oja.ru
- n.{BLOCKED}rqr.ru
- n.{BLOCKED}ajd.ru
- n.{BLOCKED}bpm.com
- n.{BLOCKED}typ.com
- n.{BLOCKED}rbj.ru
- n.{BLOCKED}nzj.com
- n.{BLOCKED}yov.com
- n.{BLOCKED}onc.com
- n.{BLOCKED}ebj.com
- n.{BLOCKED}xup.com
- n.{BLOCKED}iqf.com
- n.{BLOCKED}uhz.ru
- n.{BLOCKED}lhx.ru
- n.{BLOCKED}cvx.ru
- n.{BLOCKED}xsl.ru
- n.{BLOCKED}otb.ru
- n.{BLOCKED}snc.ru
- n.{BLOCKED}xqs.ru
- n.{BLOCKED}mnh.com
- n.{BLOCKED}oqc.com
- n.{BLOCKED}tle.ru
- n.{BLOCKED}ylf.com
- n.{BLOCKED}hsc.ru
- n.{BLOCKED}qoe.ru
- n.{BLOCKED}zkq.ru
- n.{BLOCKED}ijv.ru
- n.{BLOCKED}jzt.com
- n.{BLOCKED}lmz.com
- n.{BLOCKED}otd.com
- n.{BLOCKED}uvr.com
- n.{BLOCKED}twh.ru
- n.{BLOCKED}uag.com
- n.{BLOCKED}cxj.ru
- n.{BLOCKED}vly.ru
- n.{BLOCKED}cah.com
- n.{BLOCKED}tms.com
- n.{BLOCKED}ru
- n.{BLOCKED}wax.com
- n.{BLOCKED}zun.ru
- n.{BLOCKED}hum.ru
- n.{BLOCKED}qwk.ru
- n.{BLOCKED}ztu.com
- n.{BLOCKED}ryz.ru
- n.{BLOCKED}rii.ru
- n.{BLOCKED}zdu.ru
- n.{BLOCKED}vhe.com
- n.{BLOCKED}muh.com
- n.{BLOCKED}bab.com
- n.{BLOCKED}xbr.com
- n.{BLOCKED}lyt.com
- n.{BLOCKED}iis.ru
- n.{BLOCKED}sqv.com
- n.{BLOCKED}jty.ru
- n.{BLOCKED}weh.com
- n.{BLOCKED}jtb.com
- n.{BLOCKED}edd.com
- n.{BLOCKED}dzt.com
- n.{BLOCKED}hio.com
- n.{BLOCKED}myh.ru
- n.{BLOCKED}iwo.com
- n.{BLOCKED}pku.ru
- n.{BLOCKED}lqf.com
- n.{BLOCKED}vki.com
- n.{BLOCKED}fpi.com
- n.{BLOCKED}jsu.com
- n.{BLOCKED}vqt.ru
- n.{BLOCKED}dam.ru
- n.{BLOCKED}xbi.ru
- n.{BLOCKED}dsy.ru
- n.{BLOCKED}and.ru
- n.{BLOCKED}bib.com
- n.{BLOCKED}ixo.com
- n.{BLOCKED}gjm.com
- n.{BLOCKED}qpg.com
- n.{BLOCKED}xil.ru
- n.{BLOCKED}bce.com
- n.{BLOCKED}ebe.ru
- n.{BLOCKED}fsz.com
- n.{BLOCKED}gko.com
- n.{BLOCKED}iyg.ru
- n.{BLOCKED}inx.ru
- n.{BLOCKED}vgu.com
- n.{BLOCKED}klo.com
- n.{BLOCKED}aaj.com
- n.{BLOCKED}fvk.ru
- n.{BLOCKED}qxz.ru
- n.{BLOCKED}sxt.com
- n.{BLOCKED}she.com
- n.{BLOCKED}tum.ru
- n.{BLOCKED}oge.ru
- n.{BLOCKED}jaj.ru
- n.{BLOCKED}wqk.ru
- n.{BLOCKED}etb.ru
- n.{BLOCKED}anm.ru
- n.{BLOCKED}lks.ru
- n.{BLOCKED}sll.ru
- n.{BLOCKED}wer.com
- n.{BLOCKED}pxz.ru
- n.{BLOCKED}hxq.com
- n.{BLOCKED}zyr.com
- n.{BLOCKED}uxv.com
- n.{BLOCKED}xht.ru
- n.{BLOCKED}rqm.com
- n.{BLOCKED}dks.com
- n.{BLOCKED}umt.com
- n.{BLOCKED}pbo.ru
- n.{BLOCKED}gcj.ru
- n.{BLOCKED}imf.com
- n.{BLOCKED}nup.com
- n.{BLOCKED}qxi.ru
- n.{BLOCKED}bsj.com
- n.{BLOCKED}dqe.ru
- n.{BLOCKED}gdj.com
- n.{BLOCKED}cna.com
- n.{BLOCKED}ket.ru
- n.{BLOCKED}bbb.com
- n.{BLOCKED}egs.com
- n.{BLOCKED}eou.com
- n.{BLOCKED}gfj.ru
- n.{BLOCKED}nmk.ru
- n.{BLOCKED}oii.ru
- n.{BLOCKED}tli.com
- n.{BLOCKED}jkk.com
- n.{BLOCKED}rjw.com
- n.{BLOCKED}xhw.ru
- n.{BLOCKED}bpd.ru
- n.{BLOCKED}ihg.ru
- n.{BLOCKED}jmk.com
- n.{BLOCKED}dec.com
- n.{BLOCKED}dgz.ru
- n.{BLOCKED}lho.ru
- n.{BLOCKED}qbp.ru
- n.{BLOCKED}rhy.com
- n.{BLOCKED}hvl.ru
- n.{BLOCKED}rap.ru
- n.{BLOCKED}asl.com
- n.{BLOCKED}wfa.ru
- n.{BLOCKED}ufr.ru
- n.{BLOCKED}rss.com
- n.{BLOCKED}zra.ru
- n.{BLOCKED}uez.com
- n.{BLOCKED}tli.ru
- n.{BLOCKED}tif.ru
- n.{BLOCKED}paz.ru
- n.{BLOCKED}fpj.com
- n.{BLOCKED}vrd.ru
- n.{BLOCKED}wyu.com
- n.{BLOCKED}hsl.com
- n.{BLOCKED}cra.com
- n.{BLOCKED}lqc.ru
- n.{BLOCKED}wum.com
その他
ワームは、以下のWebサイトにアクセスして感染コンピュータのIPアドレスを収集します。
- api.wipmania.com
ワームは、以下の文字列を含むセキュリティ対策関連Webサイトが閲覧できないようにします。
- webroot
- fortinet
- virusbuster
- nprotect
- gdatasoftware
- virus
- precisesecurity
- lavasoft
- heck.tc
- emsisoft
- onlinemalwarescanner
- onecare.live
- f-secure
- bullguard
- clamav
- pandasecurity
- sophos
- malwarebytes
- sunbeltsoftware
- norton
- norman
- mcafee
- symantec
- comodo
- avast
- avira
- bitdefender
- eset
- kaspersky
- trendmicro
- iseclab
- virscan
- garyshood
- viruschief
- jotti
- threatexpert
- novirusthanks
- virustotal
- avg
ワーム は、自身（コンピュータに侵入して最初に自身のコピーを作成した ワーム ）を削除します。
ワームは、以下の方法でコンピュータに侵入します。
- ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。
- ワームは、リムーバブルドライブを介して侵入します。
- ワームは、HTMLページに組み込まれたIFRAMEタグにアクセスすることで侵入する可能性があります。
- ワームは、インスタントメッセンジャ（IM）およびソーシャルネットワークサイトを介して侵入します。
ワームが実行する不正リモートユーザからのコマンドは以下のとおりです。
- IRCチャンネルへの接続
- 接続したIRCチャンネル上でプライベートメッセージを送信
- 自身の更新
- 任意のファイルのダウンロード
- インスタントメッセンジャ「MSNメッセンジャ」を利用してメッセージの送信
- HTMLファイルへiframe タグを挿入
- 任意のWebサイトを訪問
- 任意のDNSをブロック
- ログイン認証情報の収集
- FTPサイトへログイン
- 任意のプロセスを作成
- 以下のシステムファイルの変更が可能
- ipconfig.exe
- verclsid.exe
- regedit.exe
- rundll32.exe
- cmd.exe
- regsvr32.exe
- 「分散型サービス拒否（DDoS）攻撃」の実行
ワームは以下を実行します。
- ワームは、ユーザが以下の文字列を含むWebサイトを訪問すると、ユーザの個人情報を収集するために感染コンピュータのブラウザ活動を監視します。
- login[password]
- login[username]
- *members*.iknowthatgirl*/members*
- *youporn.*/login*
- *members.brazzers.com*
- numeroTarjeta
- *clave=*
- *bcointernacional*login*
- *:2222/CMD_LOGIN*
- *whcms*dologin*
- *:2086/login*
- *:2083/login*
- *:2082/login*
- *webnames.ru/*user_login*
- *dotster.com/*login*
- loginid
- *enom.com/login*
- login.Pass
- login.User
- *login.Pass=*
- *1and1.com/xml/config*
- token
- *moniker.com/*Login*
- LoginPassword
- LoginUserName
- *LoginPassword=*
- *namecheap.com/*login*
- loginname
- *godaddy.com/login*
- Password
- EmailName
- *Password=*
- *alertpay.com/login*
- *netflix.com/*ogin*
- *thepiratebay.org/login*
- *torrentleech.org/*login*
- *vip-file.com/*/signin-do*
- *pas=*
- *sms4file.com/*/signin-do*
- *letitbit.net*
- *what.cd/login*
- *oron.com/login*
- *filesonic.com/*login*
- *speedyshare.com/login*
- *pw=*
- *uploaded.to/*login*
- *uploading.com/*login*
- loginUserPassword
- loginUserName
- *loginUserPassword=*
- *fileserv.com/login*
- *hotfile.com/login*
- *4shared.com/login*
- txtpass
- txtuser
- *txtpass=*
- *netload.in/index*
- *freakshare.com/login*
- login_pass
- *login_pass=*
- *mediafire.com/*login*
- *sendspace.com/login*
- *megaupload.*/*login*
- *depositfiles.*/*/login*
- userid
- *signin.ebay*SignIn
- *officebanking.cl/*login.asp*
- *secure.logmein.*/*logincheck*
- session[password]
- session[username_or_email]
- *password]=*
- *twitter.com/sessions
- txtPassword
- txtEmail
- *&txtPassword=*
- *.moneybookers.*/*login.pl
- *runescape*/*weblogin*
- *dyndns*/account*
- *&password=*
- *no-ip*/login*
- *steampowered*/login*
- quick_password
- quick_username
- username
- *hackforums.*/member.php
- *facebook.*/login.php*
- *login.yahoo.*/*login*
- passwd
- login
- *passwd=*
- *login.live.*/*post.srf*
- TextfieldPassword
- TextfieldEmail
- *TextfieldPassword=*
- *gmx.*/*FormLogin*
- *Passwd=*
- FLN-Password
- FLN-UserName
- *FLN-Password=*
- *fastmail.*/mail/*
- *pass=*
- *bigstring.*/*index.php*
- screenname
- *screenname.aol.*/login.psp*
- password
- loginId
- *password=*
- *aol.*/*login.psp*
- Passwd
- *service=youtube*
- *google.*/*ServiceLoginAuth*
- login_password
- login_email
- *login_password=*
- *paypal.*/webscr?cmd=_login-submit*
- ワームは、以下のURLのWebサイト上のコメントボックスに投稿されたメッセージを監視し収集します。
- comment-text
- *bebo.*/c/home/ajax_post_lifestream_comment
- bebo Lifestream
- *bebo.*/c/profile/comment_post.json
- bebo Comment
- Message
- *bebo.*/mail/MailCompose.jsp*
- bebo Message
- *friendster.*/sendmessage.php*
- Friendster Message
- comment
- Friendster Comment
- shoutout
- *friendster.*/rpc.php
- Friendster Shoutout
- *vkontakte.ru/mail.php
- vkontakte Message
- *vkontakte.ru/wall.php
- vkontakte Wall
- message
- *vkontakte.ru/api.php
- vkontakte Chat
- *twitter.*/*direct_messages/new*
- Twitter Message
- *twitter.*/*status*/update*
- Twitter Tweet
- status
- *facebook.*/ajax/*MessageComposerEndpoint.php*
- Facebook Message
- msg_text
- *facebook.*/ajax/chat/send.php*
- Facebook IM
- ワームは、リムーバルドライブ内の自身のコピーに誘導するショートカットファイルを作成します。作成された.LNKファイルは、ファイル名にリムーバルドライブ内のファイル名を使用します。その後、元のフォルダを隠し属性に設定することにより、ユーザに作成したLNKファイルをクリックさせようとします。
- ワームは以下のブラウザを監視します。
- Flock
- Opera
- Google Chrome
- Internet Explorer
- Mozilla Firefox
ワームは、実行中のすべてのプロセス(except smss.exeおよびlsass.exe)に組み込まれ、メモリに常駐します。
ワームは、ユーザが以下の文字列を含むセキュリティ対策製品関連のWebサイトを訪問するのを妨害します、
- webroot
- fortinet
- virusbuster
- nprotect
- gdatasoftware
- virus
- precisesecurity
- lavasoft
- heck.tc
- emsisoft
- onlinemalwarescanner
- onecare.live
- f-secure
- bullguard
- clamav
- pandasecurity
- sophos
- malwarebytes
- sunbeltsoftware
- norton
- norman
- mcafee
- symantec
- comodo
- avast
- avira
- bitdefender
- eset
- kaspersky
- trendmicro
- iseclab
- virscan
- garyshood
- viruschief
- jotti
- threatexpert
- novirusthanks
- virustotal
- avg
- In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
- Windows Update Installer = "%Application Data%\WindowsUpdate\Updater.exe"
- Windows Update Installer = "%Application Data%\WindowsUpdate\Updater.exe"
- In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
- {random filename} = "%Application Data%\Microsoft\Windows\Themes\{random filename}.exe"
- {random filename} = "%Application Data%\Microsoft\Windows\Themes\{random filename}.exe"
- コマンドプロンプトを起動します。
- Windows 2000、XP および Server 2003 の場合：
[スタート]-[ファイル名を指定して実行]を選択し、cmd と入力し、Enter を押します。
- Windows Vista、7、Server 2008 の場合：
[スタート]をクリックし、検索入力欄に cmd と入力し、Enter を押します。 - Windows 8、8.1 および Server 2012 の場合：
[スタート]-[プログラムとファイルの検索]に cmd と入力し、Enter を押します。画面の左下隅を右クリックし、[コマンド プロンプト]を選択します。
※cmd は半角英数字で入力する必要があります（大文字／小文字は区別されません）。
- Windows 2000、XP および Server 2003 の場合：
- コンソールウィンドウに以下を入力します。
- ATTRIB -H D:\* /S /D
- 他のドライブやディレクトリ内のフォルダおよびファイルに対して、手順 3.）を繰り返してください。
- {removable drive letter}:\{folder or file name of existing files}.lnk
- %User Temp%\c731200
マルウェアは、ルートキット機能を備えていません。
マルウェアは、脆弱性を利用した感染活動を行いません。
対応方法
手順 1
Windows XP、Windows Vista および Windows 7 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。
手順 2
このマルウェアもしくはアドウェア等の実行により、手順中に記載されたすべてのファイル、フォルダおよびレジストリキーや値がコンピュータにインストールされるとは限りません。インストールが不完全である場合の他、オペレーティングシステム（OS）の条件によりインストールがされない場合が考えられます。手順中に記載されたファイル／フォルダ／レジストリ情報が確認されない場合、該当の手順の操作は不要ですので、次の手順に進んでください。
手順 3
このマルウェアのパス名およびファイル名を確認します。
最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用いてウイルス検索を実行してください。「WORM_DORKBOT.XXSN」で検出したパス名およびファイル名を確認し、メモ等をとってください。
手順 4
Windowsをセーフモードで再起動します。
手順 5
このレジストリ値を削除します。
警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。
手順 6
ATTRIB [+R | -R] [+A | -A ] [+S | -S] [+H | -H] [+I | -I] [ドライブ:][パス][ファイル名] [/S [/D] [/L]]
各コマンドの意味は以下のとおりです。+：属性の設定
-：属性の解除
R：読み取り専用属性
A：アーカイブ属性
S：システムファイル属性
H：隠しファイル属性
I：非インデックス対象ファイル属性
[drive:][path][filename]
[ドライブ:][パス][ファイル名]：attribで処理するファイルの指定
/S：現在のフォルダとすべてのサブフォルダ内で一致するファイルの処理
/D：フォルダも処理
/L：Symbolic Link（シンボリックリンク）のターゲットに対するシンボリックリンク属性での動作
コマンド例：
Dドライブ内のサブフォルダを含むすべてのフォルダおよびファイルの隠しファイル属性を解除する場合。
手順 7
以下のファイルを検索し削除します。
手順 8
コンピュータを通常モードで再起動し、最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、「WORM_DORKBOT.XXSN」と検出したファイルの検索を実行してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。
ご利用はいかがでしたか？ アンケートにご協力ください