• Email
• Facebook
• Twitter
• Google+
• Linkedin

WORM_TATERF.DC

---

• マルウェアタイプ: ワーム
• 破壊活動の有無: なし
• 暗号化: はい
• 感染報告の有無: はい

---

  概要

ワームは、オンラインゲームに関連したユーザ名やパスワードなど、ユーザの個人情報を収集します。ワームは、特定の文字列が含まれたメモリ内のプロセスやサービスを監視することでこの不正活動を実行します。

またワームは、特定のURLやプロセス、レジストリキーを監視することで、「Yahoo! Japan」の個人情報を収集します。

ワームは、最初に実行した自身のコピーを削除します。

ワームは、リムーバブルドライブを介してコンピュータに侵入します。 ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。

ワームは、バックドア活動の機能を備えていません。

ただし、情報公開日現在、このWebサイトにはアクセスできません。

ワームは、特定のオンラインゲームで用いられるユーザ名およびパスワードなどの個人情報を収集します。収集された情報は、サイバー犯罪者に悪用される恐れがあります。

ワームは、実行後、自身を削除します。

---

  詳細

侵入方法

ワームは、リムーバブルドライブを介してコンピュータに侵入します。

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ワームは、以下のコンポーネントファイルを作成します。

• %User Temp%\4tddfwq{number}.dll - also detected as WORM_TATERF.DC

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

ワームは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %User Temp%\xvassdf.exe

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

ワームは、以下のプロセスを追加します。

• iexplore.exe

ワームは、以下のプロセスにコードを組み込みます。

• created iexplore.exe
• explorer.exe

自動実行方法

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
54dfsger = "%User Temp%\xvassdf.exe"

他のシステム変更

ワームは、以下のレジストリ値を変更します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
Hidden = "2"

(註：変更前の上記レジストリ値は、「1」となります。)

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
ShowSuperHidden = "0"

(註：変更前の上記レジストリ値は、「1」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced\Folder\Hidden\
SHOWALL
CheckedValue = "0"

(註：変更前の上記レジストリ値は、「1」となります。)

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
Explorer
NoDriveTypeAutoRun = "145"

(註：変更前の上記レジストリ値は、「"255"」となります。)

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
Explorer
NoDriveTypeAutoRun = "145"

(註：変更前の上記レジストリ値は、「"255"」となります。)

感染活動

ワームは、すべての物理ドライブおよびリムーバブルドライブ内に以下として自身のコピーを作成します。

• {drive letter}:\sop.exe

ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。

上記INFファイルには、以下の文字列が含まれています。

[AutoRun]
open=sop.exe
shell\open\Command=sop.exe

バックドア活動

ワームは、バックドア活動の機能を備えていません。

プロセスの終了

ワームは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• RavMon.exe

ダウンロード活動

ワームは、以下のWebサイトにアクセスし、ファイルをダウンロードします。

• http://www.{BLOCKED}r3g.com/1rb/ar1.rar

ワームは、以下のファイル名でダウンロードしたファイルを保存します。

• %User Temp%\ar1.rar

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

ただし、情報公開日現在、このWebサイトにはアクセスできません。

情報漏えい

ワームは、特定のゲームで用いられるユーザ名およびパスワードなどの個人情報を収集します。

その他

ワームは、タイトルバーに以下の文字列を含むアプリケーションのウィンドウを閉じます。

• AVP.AlertDialog
• AVP.Product_Notification

ワームは、実行後、自身を削除します。

ワームが作成する以下のコンポーネントファイルは、「WORM_TATERF.DC」として検出されます。

• %User Temp%\4tddfwq{number}.dll

ワームは、セキュリティ対策製品に関連した以下のプロセスがメモリ内で実行されているかどうかを確認します。

• ALUSCHEDULERSVC.EXE
• ASHDISP.EXE
• AVGNT.EXE
• AVGRSX.EXE
• AVP.EXE
• AYAGENT.AYE
• CCSVCHST.EXE
• LIVESRV.EXE
• UFSEAGNT.EXE
• VCRMON.EXE
• VSTSKMGR.EXE

実行中のプロセスが確認された場合、ワームは上述のファイルが存在するフォルダを取得します。そしてワームは、以下のいずれかのコンポーネントファイルを検索します。ファイルは、ワームが確認したセキュリティ対策のプロセスによります。

• avast.setup
• avgupd.exe
• AYUpdate.aye
• luall.exe
• mcupdate.exe
• preupd.exe
• prupdate.ppl
• setup.ovr
• SfFnUp.exe
• UfUpdUi.exe
• Update.exe
• vsupdate.dll

ワームは、以下の拡張子を持つファイルを上述のフォルダから検索します。

• .DLL
• .EXE

そしてワームは、システムルートフォルダ内で確認したファイルを移動し、ファイル名を”{file name}.{extension}.vcd”に置き換えます。

ワームは、オンラインゲームに関連したユーザ名やパスワードなどのユーザ個人情報の収集を試みます。ワームは、特定の文字列が含まれたメモリ内のプロセスやサービスを監視することでこの不正活動を実行します。

• agexe.exe
• Altair(Non-PvP)
• app.dll
• coc.exe
• Forthgoer
• Leu
• lin.bin
• PlayOnline ID :
• pol.exe
• polcore.dll
• Ragexe.exe

以下のファイルが感染コンピュータ上に存在する場合、ワームは、そのファイルから情報の収集を試みます。

• aaa.dat

ワームは、以下のURLやプロセス、レジストリキーを監視することで、「Yahoo! Japan」の個人情報を収集します。

• https://login.yahoo.co.jp/config/login_verify2?.src=ym
• https://login.yahoo.co.jp/config/login?YPagerj.exe
• YahooWidgetEngine.exe
• \Software\YahooJapan

Iワームは、以下のIPアドレスに向かうトラフィックを監視します。

• {BLOCKED}.{BLOCKED}.235.226
• {BLOCKED}.{BLOCKED}.235.227
• {BLOCKED}.{BLOCKED}.235.228
• {BLOCKED}.{BLOCKED}.235.229

マルウェアは、ルートキット機能を備えていません。

マルウェアは、脆弱性を利用した感染活動を行いません。

---

  対応方法

ご利用はいかがでしたか？　アンケートにご協力ください