HKTL_DOOMWORM

トレンドマイクロは、このプログラムをNoteworthy（要注意）に分類しました。

プログラムは、2015年1月初旬に確認された「Njw0rm」として知られるマルウェアのソースコードの公開に関連しています。

プログラムは、ユーザの手動インストールにより、コンピュータに侵入します。

侵入方法

プログラムは、ユーザの手動インストールにより、コンピュータに侵入します。

プログラムは、ユーザ定義のポートを傍受します。プログラムは以下の情報を監視します。

• コンピュータ名
• 国名
• ファイアウォール
• ハッキングした日
• インストールされたセキュティ関連プログラム
• インストールされたCPUおよびGPU
• IPアドレス
• マルウェアのバージョン
• オペレーティングシステム（OS)のバージョン
• リムーバブルドライブの存在
• プロセッサID
• 製品名、IDおよびキー
• Random Access Memory（RAM）
• ユーザ名
• 感染コンピュータの感染ID

マルウェアは、以下の不正活動を実行します。

• 「分散型サービス拒否（DDoS）攻撃」
• コンピュータのシャットダウン、再起動、ログオフ
• 受信箱を介してメッセージ
• ビットコインのマイニング
• http://www.{BLOCKED}equran.orgを開く
• このプログラムの作成ツールによって作成されたワームのアンインストール
• VBSファイルのワームを作成

作成されたマルウェアの動作は、作成ツールの定義されたオプションによります。

プログラムは、定義されたIPやポートに接続します。プログラムは、以下のいずれかの自身のコピーに誘導するショートカットファイルを作成します。

• %User Temp%\{Install Folder}\{Install Name}-DoOoM.lnk
• %Application Data%\{Install Folder}\{Install Name}-DoOoM.lnk
• %User Profile%\{Install Folder}\{Install Name}-DoOoM.lnk

プログラムは、以下の場所のいずれかに自身のコピーを作成します。

• %User Temp%\{Install Folder 2}\{Install Name}-DoOoM.vbs
• %Application Data%\{Install Folder 2}\{Install Name}-DoOoM.vbs
• %User Profile%\{Install Folder 2}\{Install Name}-DoOoM.vbs

作成されたマルウェアは、感染コンピュータ上で以下の活動を実行します。

• 以下のプロセスを強制終了
  • SpyTheSpy.exe
  • TiGeR-Firewall.exe
  • bavtray.exe
• 仮想環境下で実行されているかどうかを確認
• コンピュータが起動する度に指定されたURLを訪れるショートカットを作成
• 自身の隠ぺい
• リムーバブルを介して拡散