WORM_FEODO.A

2010年10月22日

解析者: Michael Cabel

プラットフォーム:

Windows 2000, XP, Server 2003

危険度:

ダメージ度:

感染力:

感染確認数:

マルウェアタイプ: ワーム
破壊活動の有無: なし
暗号化: なし
感染報告の有無: はい

概要

感染経路リムーバブルドライブを介した感染活動

ワームは、リモートサイトから他のマルウェア、グレイウェアまたはスパイウェアにダウンロードされ、コンピュータに侵入します。ワームは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。

ワームは、すべてのリムーバブルドライブ内に自身のコピーを作成します。ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。

ワームは、特定の銀行および金融機関のWebサイトで利用されるユーザ名やパスワードなどの個人情報を収集します。

ワームは、実行後、自身を削除します。

詳細

ファイルサイズ 71,680 bytes

タイプ PE

メモリ常駐はい

発見日 2010年10月22日

ペイロード情報収集

侵入方法

ワームは、リモートサイトから他のマルウェア、グレイウェアまたはスパイウェアにダウンロードされ、コンピュータに侵入します。

ワームは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。

インストール

ワームは、感染したコンピュータ内に以下のように自身のコピーを作成します。

%System%\svrwsc.exe

(註：%System%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\System"、Windows NT および 2000 の場合、"C:\WinNT\System32"、Windows XP および Server 2003 の場合、"C:\Windows\System32" です。)

ワームは、以下のプロセスに組み込まれ、システムのプロセスに常駐します。

Explorer.exe

自動実行方法

ワームは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SvrWsc
Type = 10

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SvrWsc
Start = 2

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SvrWsc
ErrorControl = 0

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SvrWsc
ImagePath = %System%\svrwsc.exe

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SvrWsc
DisplayName = Windows Security Center Service

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SvrWsc
ObjectName = LocalSystem

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SvrWsc
Description = The service provides COM APIs for independent software vendors to register and record the state of their products to the Security Center service.

他のシステム変更

ワームは、インストールの過程で、以下のレジストリ値を追加します。

HKEY_USERS\.DEFAULT\Software\
Microsoft\Windows\CurrentVersion\
Internet Settings
ProxyEnable = 0

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
SvrWsc = ""

ワームは、インストールの過程で、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
DirectX\MSA

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
DirectX\MSB

感染活動

ワームは、すべてのリムーバブルドライブ内に自身のコピーを作成します。

ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。

上記INFファイルには、以下の文字列が含まれています。

[AutoRun]
open={random folder name}\{random file name}.exe
shell\Open\Command={random folder name}\{random file name}.exe
shell\Open\Default=1
shell\Explore\Command={random folder name}\{random file name}.exe
shell\Autoplay\command={random folder name}\{random file name}.exe

情報漏えい

ワームは、感染したコンピュータ上でInternet Explorer（IE）の使用状況を監視します。ワームは、特にIEのアドレスバーまたはタイトルバー情報を監視しますが、ユーザが銀行関連Webサイトを閲覧しそのサイトのアドレスバーまたはタイトルバーに以下の文字列が含まれていた場合、正規Webサイトを装った偽のログインページを作成します。

*/Common/SignOn/Start.asp*
*/inets/*
*/inets/Login*
*/sbuser/*
*ACH*
*PassMarkRecognized.aspx*
*addisonavenue.com*
*bankonline.umpquabank.com*
*business.macu.com*
*businesslogin*
*bxs.com*
*cashmgt.firsttennessee*
*ceowt.wellsfargo.com*
*chsec.wellsfargo.com*
*cibng.ibanking-services.com*
*cnbank.com*
*cnbsec1.cnbank.com*
*comerica.com*
*ebanking.eurobank.gr*
*ebc_ebc1961*
*efirstbank*
*enterprise2.openbank.com*
*express.53.com*
*fundsxpress.com*
*global1.onlinebank.com*
*hbcash.exe*
*hillsbank*
*homebank.nbg.gr*
*hsbc*
*ibanking-services.com*
*itreasury.regions.com*
*metrobankdirect.com*
*mystreetscape*
*mystreetscape.com*
*nsbank.com*
*online.ccbank.bg*
*otm.suntrust.com*
*scottvalleybank*
*secure.ally.com*
*secure.fundsxpress.com*
*securentry*
*securentry.calbanktrust.com*
*servlet/teller*
*site-secure.com*
*springbankconnect.com*
*telepc.net*
*treasurypathways.com*
*umpquabank.com*
*webcash*
*webexpress*
*wellsoffice.wellsfargo.com*
*wire*
*www2.firstbanks.com/olb*

ワームは、以下の銀行もしくは金融機関で利用される個人情報を収集します。

Addison Avenue
BXS
Business Macu
CCBank
CNBank
California Bank & Trust
Comerica
Efirst Bank
Eurobank
Fifth Third
First Tennessee
Funds Express
HSBC
Hillsbank
Metrobank Direct
Mystreetscape
NSbank
Open Bank
Openbank
Scottvalley Bank
Springbank Connect
Suntrust
Umpquabank
Wells Fargo
iTreasury

情報収集

ワームは、HTTPポストを介して、収集した情報を以下のURLに送信します。

http://{BLOCKED}m.ru/wbc/avg/index.php

その他

ワームは、実行後、自身を削除します。

ハッシュ値情報

ワームは、以下のMD5ハッシュ値を含んでいます。

557597074df3d3ce0e1674285ef19732

ワームは、以下のSHA1ハッシュ値を含んでいます

ec2856823201125ab90a3ae38ef925b0d06c2056

対応方法

対応検索エンジン: 8.900

初回 VSAPI パターンバージョン 7.560.01

初回 VSAPI パターンリリース日 2010年10月22日

VSAPI OPR パターンバージョン 7.567.00

VSAPI OPR パターンリリース日 2010年10月24日

手順 1

Windows XP および Windows Server 2003 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

手順 2

Windowsをセーフモードで再起動します。

[ 詳細 ]

手順 3

このレジストリ値を削除します。

[ 詳細 ]

警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。

In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
- SvrWsc =
In HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Internet Settings
- ProxyEnable = 0

手順 4

このレジストリキーを削除します。

[ 詳細 ]

In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\DirectX
- MSA
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\DirectX
- MSB
In HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services
- SvrWsc

手順 5

「WORM_FEODO.A」が作成した AUTORUN.INF を検索し削除します。このファイルには、以下の文字列が含まれています。

[ 詳細 ]

手順 6

最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「WORM_FEODO.A」と検出したファイルはすべて削除してください。検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。

ご利用はいかがでしたか？　アンケートにご協力ください