VBS_MAILFIND.A

ワームは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。 ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ワームは、Ｅメールのキャッシュ、アドレス帳および受信箱から特定のＥメールアドレスを収集します。 送信されたメッセージには、ワームのコピーをダウンロードする以下のリンクが記載されています。

ワームは、ダウンロードしたファイルを実行します。 ワームは、上記で作成されたフォルダ内にダウンロードしたファイルを保存します。 ただし、情報公開日現在、このWebサイトにはアクセスできません。

侵入方法

ワームは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ワームは、以下のフォルダを作成します。

• C:\temp

感染活動

ワームは、「Messaging Application Programming Interface（MAPI）」を用いてＥメール送信する機能を備えています。なお、Ｅメールのメッセージにはリンクが含まれており、リンク先のリモートサイトには、自身のコピーが組み込まれています。詳細は以下のとおりです。

• Sender: {BLOCKED}te.{BLOCKED}bon3374@yahoo.de

ワームは、以下のいずれかのSMTPサーバを使用します。

• SMTP Server: "mailgate.otenet.gr"
• SMTP Server Port: 587
• User Name: "nastia26@otenet.gr"
• Password: "nat1978#"

ワームは、Ｅメールのキャッシュ、アドレス帳および受信箱から特定のＥメールアドレスを収集します。

送信されたメッセージには、ワームのコピーをダウンロードする以下のリンクが記載されています。

• http://{BLOCKED}.{BLOCKED}xusercontent.com/s/uw92ooko73yincw/Documents.zip?dl=1 - Not accessible
• http://{BLOCKED}.{BLOCKED}xusercontent.com/s/j7eiyij7wshwhoe/Documents.zip?dl=1 - Not accessible
• http://{BLOCKED}.{BLOCKED}xusercontent.com/s/x2npx95tzmk724r/Documents.zip?dl=1 - Not accessible
• http://{BLOCKED}.{BLOCKED}xusercontent.com/s/i0orsrnizec9fr0/Documents.zip?dl=1 - Not accessible
• http://{BLOCKED}.{BLOCKED}xusercontent.com/s/liwvrveoh67qbnw/Documents.zip?dl=1 - Not accessible

ワームは、以下のメッセージを送信します。

Here re the required documents you asked for.
{malware download link} hyper link as Documents.zip
Keep me posted for any complaints or anything.
Thank you.

ダウンロード活動

ワームは、以下のWebサイトから自身のコピーの更新版をダウンロードします。

• http://{BLOCKED}.{BLOCKED}xusercontent.com/s/uw92ooko73yincw/Documents.zip?dl=1 - Not accessible
• http://{BLOCKED}.{BLOCKED}xusercontent.com/s/j7eiyij7wshwhoe/Documents.zip?dl=1 - Not accessible
• http://{BLOCKED}.{BLOCKED}xusercontent.com/s/x2npx95tzmk724r/Documents.zip?dl=1 - Not accessible
• http://{BLOCKED}.{BLOCKED}xusercontent.com/s/i0orsrnizec9fr0/Documents.zip?dl=1 - Not accessible
• http://{BLOCKED}.{BLOCKED}xusercontent.com/s/liwvrveoh67qbnw/Documents.zip?dl=1 - Not accessible

ワームは、以下のWebサイトにアクセスし、不正なファイルをダウンロードして実行します。

• http://{BLOCKED}.{BLOCKED}xusercontent.com/s/o0d1ce9toe9a9rq/clickyes.dat?dl=1 - Not accessible
• http://{BLOCKED}.{BLOCKED}xusercontent.com/s/f2h777xsqv8cepb/clickyes.dat?dl=1 - Not accessible
• http://{BLOCKED}.{BLOCKED}xusercontent.com/s/ui6zo977ttx7bqy/clickyes.dat?dl=1 - Not accessible
• http://{BLOCKED}.{BLOCKED}xusercontent.com/s/tsv6l172jqlt0tf/clickyes.dat?dl=1 - Not accessible
• http://{BLOCKED}.{BLOCKED}xusercontent.com/s/d9bt6hyvhjjwwkd/clickyes.dat?dl=1 - Not accessible
• http://{BLOCKED}.{BLOCKED}xusercontent.com/s/o0d1ce9toe9a9rq/clickyes.dat?dl=1 - Not accessible
• http://{BLOCKED}.{BLOCKED}xusercontent.com/s/f2h777xsqv8cepb/clickyes.dat?dl=1 - Not accessible
• http://{BLOCKED}.{BLOCKED}xusercontent.com/s/ui6zo977ttx7bqy/clickyes.dat?dl=1 - Not accessible
• http://{BLOCKED}.{BLOCKED}xusercontent.com/s/tsv6l172jqlt0tf/clickyes.dat?dl=1 - Not accessible
• http://{BLOCKED}.{BLOCKED}xusercontent.com/s/d9bt6hyvhjjwwkd/clickyes.dat?dl=1 - Not accessible

ワームは、以下のWebサイトにアクセスして自身のコンポーネントファイルをダウンロードします。

• http://{BLOCKED}.{BLOCKED}xusercontent.com/s/rxkbtjtpvzgrra4/xml.zip?dl=1 - Not accessible
• http://{BLOCKED}.{BLOCKED}xusercontent.com/s/8w0ldbbf0ndb78l/xml.zip?dl=1 - Not accessible
• http://{BLOCKED}.{BLOCKED}xusercontent.com/s/ubdlqx6leqy3gw8/xml.zip?dl=1 - Not accessible
• http://{BLOCKED}.{BLOCKED}xusercontent.com/s/h6znwxvjs3rpvw7/xml.zip?dl=1 - Not accessible
• http://{BLOCKED}.{BLOCKED}xusercontent.com/s/eclb44x6t01lxsg/xml.zip?dl=1 - Not accessible
• http://{BLOCKED}.{BLOCKED}xusercontent.com/s/ywfb7lux4of25au/xml.zip?dl=1 - Not accessible
• http://{BLOCKED}.{BLOCKED}xusercontent.com/s/6xm9cw2dkmo0q0k/xml.zip?dl=1 - Not accessible
• http://{BLOCKED}.{BLOCKED}xusercontent.com/s/xoqbc490nurxeow/xml.zip?dl=1 - Not accessible
• http://{BLOCKED}.{BLOCKED}xusercontent.com/s/ja2hb47rwkzqqo8/xml.zip?dl=1 - Not accessible
• http://{BLOCKED}.{BLOCKED}xusercontent.com/s/y8lpltcjxuf81n7/xml.zip?dl=1 - Not accessible
• http://{BLOCKED}.{BLOCKED}xusercontent.com/s/8zaselhbwkdw3w7/xml.zip?dl=1 - Not accessible
• http://{BLOCKED}.{BLOCKED}xusercontent.com/s/xfyakmoo7gzv4j3/xml.zip?dl=1 - Not accessible
• http://{BLOCKED}.{BLOCKED}xusercontent.com/s/bxlxjku6u6i5mqq/xml.zip?dl=1 - Not accessible
• http://{BLOCKED}.{BLOCKED}xusercontent.com/s/gs3eq8r00yn4of8/xml.zip?dl=1 - Not accessible
• http://{BLOCKED}.{BLOCKED}xusercontent.com/s/6e7xw9qrovheepd/xml.zip?dl=1 - Not accessible
• http://{BLOCKED}.{BLOCKED}xusercontent.com/s/073he87wsizsn14/xml.zip?dl=1 - Not accessible
• http://{BLOCKED}.{BLOCKED}xusercontent.com/s/z4jl4ckge68ly86/xml.zip?dl=1 - Not accessible
• http://{BLOCKED}.{BLOCKED}xusercontent.com/s/2v5auf9b4wh1sas/xml.zip?dl=1 - Not accessible
• http://{BLOCKED}.{BLOCKED}xusercontent.com/s/clw9swn6w7ez8yz/xml.zip?dl=1 - Not accessible
• http://{BLOCKED}.{BLOCKED}xusercontent.com/s/yc4ju3wap4y71va/xml.zip?dl=1 - Not accessible
• http://{BLOCKED}.{BLOCKED}xusercontent.com/s/l93ij60w4jsgj6e/xml.zip?dl=1 - Not accessible
• http://{BLOCKED}.{BLOCKED}xusercontent.com/s/ll2ydaxt1qesxbg/xml.zip?dl=1 - Not accessible
• http://{BLOCKED}.{BLOCKED}xusercontent.com/s/h5fy4kinzcqpo0e/xml.zip?dl=1 - Not accessible
• http://{BLOCKED}.{BLOCKED}xusercontent.com/s/1dxzjip2h8ep2fl/xml.zip?dl=1 - Not accessible
• http://{BLOCKED}.{BLOCKED}xusercontent.com/s/98yoxgz9nh00lxp/xml.zip?dl=1 - Not accessible
• http://{BLOCKED}.{BLOCKED}xusercontent.com/s/r7ll4mze3xigpkb/xml.zip?dl=1 - Not accessible
• http://{BLOCKED}.{BLOCKED}xusercontent.com/s/da9mznunn0kz588/xml.zip?dl=1 - Not accessible
• http://{BLOCKED}.{BLOCKED}xusercontent.com/s/36gldtb1ngjhjg1/xml.zip?dl=1 - Not accessible
• http://{BLOCKED}.{BLOCKED}xusercontent.com/s/h3bt7tygbf91jsm/xml.zip?dl=1 - Not accessible
• http://{BLOCKED}.{BLOCKED}xusercontent.com/s/m26w3f17a8zc3tr/xml.zip?dl=1 - Not accessible
• http://{BLOCKED}.{BLOCKED}xusercontent.com/s/vntfj2zc6nygvv2/xml.zip?dl=1 - Not accessible

ワームは、以下のファイル名でダウンロードしたファイルを保存します。

• C:\temp\{random}.{random} - Component file
• C:\temp\clickyes.exe - Malicious file

ワームは、ダウンロードしたファイルを実行します。

ワームは、上記で作成されたフォルダ内にダウンロードしたファイルを保存します。

ただし、情報公開日現在、このWebサイトにはアクセスできません。