Worm.Win32.BLASQUI.C

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ワームは、以下のファイルを作成します。

• %ProgramData%\spreadVhijkl.exe → deleted afterwards
• %ProgramData%\spread.txt → copy of itself
• %ProgramData%\SMB.exe → deleted afterwards
• %ProgramData%\__tmp_rar_sfx_access_check_4110127 → deleted afterwards
• %ProgramData%\adfw.dll
• %ProgramData%\adfw-2.dll
• %ProgramData%\cnli-0.dll
• %ProgramData%\cnli-1.dll
• %ProgramData%\coli-0.dll
• %ProgramData%\crli-0.dll
• %ProgramData%\dmgd-1.dll
• %ProgramData%\dmgd-4.dll
• %ProgramData%\esco-0.dll
• %ProgramData%\etch-0.dll
• %ProgramData%\etchCore-0.x64.dll
• %ProgramData%\etchCore-0.x86.dll
• %ProgramData%\eteb-2.dll
• %ProgramData%\etebCore-2.x64.dll
• %ProgramData%\etebCore-2.x86.dll
• %ProgramData%\exma.dll
• %ProgramData%\exma-1.dll
• %ProgramData%\iconv.dll
• %ProgramData%\libcurl.dll
• %ProgramData%\libeay32.dll
• %ProgramData%\libiconv-2.dll
• %ProgramData%\libxml2.dll
• %ProgramData%\pcla-0.dll
• %ProgramData%\pcre-0.dll
• %ProgramData%\pcrecpp-0.dll
• %ProgramData%\pcreposix-0.dll
• %ProgramData%\posh.dll
• %ProgramData%\posh-0.dll
• %ProgramData%\riar.dll
• %ProgramData%\riar-2.dll
• %ProgramData%\serverlong.exe
• %ProgramData%\serverlong.fb
• %ProgramData%\serverlong.xml
• %ProgramData%\Shellcode.ini
• %ProgramData%\ssleay32.dll
• %ProgramData%\svchostlong.exe
• %ProgramData%\svchostlong.fb
• %ProgramData%\svchostlong.xml
• %ProgramData%\svchostromance.exe
• %ProgramData%\svchostromance.xml
• %ProgramData%\tibe.dll
• %ProgramData%\tibe-1.dll
• %ProgramData%\tibe-2.dll
• %ProgramData%\trch.dll
• %ProgramData%\trch-0.dll
• %ProgramData%\trch-1.dll
• %ProgramData%\trfo.dll
• %ProgramData%\trfo-0.dll
• %ProgramData%\trfo-2.dll
• %ProgramData%\tucl.dll
• %ProgramData%\tucl-1.dll
• %ProgramData%\ucl.dll
• %ProgramData%\X64.dll
• %ProgramData%\X86.dll
• %ProgramData%\xdvl-0.dll
• %ProgramData%\zibe.dll
• %ProgramData%\zlib1.dll
• %ProgramData%\__tmp_rar_sfx_access_check_4116273 → deleted afterwards
• \\{remote IP address}\ADMIN$\spread.txt → copy of itself → deleted afterwards

(註：%ProgramData%フォルダは、マルチユーザーシステムにおいて任意のユーザがプログラムに変更を加えることができるプログラムファイルフォルダのバージョンです。これには、すべてのユーザのアプリケーションデータが含まれます。Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData" です。Windows Server 2003(32-bit)、2000(32-bit)、XPの場合、通常 "C:\Documents and Settings\All Users" です。 )

ワームは、以下のプロセスを追加します。

• cmd /c schtasks /create /sc minute /mo 1 /tn "QQMusic" /tr {malware directory}\{malware filename} /F
• schtasks /create /sc minute /mo 1 /tn "QQMusic" /tr {malware directory}\{malware filename} /F
• cmd /c taskkill /f /im spreadVhijkl.exe&&exit
• taskkill /f /im spreadVhijkl.exe
• cmd /c ipconfig /flush
• ipconfig /flush
• %ProgramData%\spreadVhijkl.exe -o stratum+tcp://auto.c3pool.org:443 -u 4AAjsvwrMQxBJpExraeoqdKrV8bwz2kkJG7P4axGTSip46CjmCrvSa8dztbNC4n6XuLr8wiXYgxS9c979hpdmi6s3LCNNja -p X -a cn/r --max-cpu-usage=25 --cpu-priority 1 --cpu-max-threads-hint=25 -K
• %ProgramData%\SMB.exe

(註：%ProgramData%フォルダは、マルチユーザーシステムにおいて任意のユーザがプログラムに変更を加えることができるプログラムファイルフォルダのバージョンです。これには、すべてのユーザのアプリケーションデータが含まれます。Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData" です。Windows Server 2003(32-bit)、2000(32-bit)、XPの場合、通常 "C:\Documents and Settings\All Users" です。 )

自動実行方法

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
QQMusic = {malware directory}\{malware filename}

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion
QQMusic = {malware directory}\{malware filename}

他のシステム変更

ワームは、以下のレジストリ値を変更します。

HKEY_CURRENT_USER\Network\K
RemotePath = \{remote IP address}\ADMIN$

HKEY_CURRENT_USER\Network\K
UserName = {default}

HKEY_CURRENT_USER\Network\K
ProviderName = Microsoft Windows Network

HKEY_CURRENT_USER\Network\K
ProviderType = 131072

HKEY_CURRENT_USER\Network\K
ConnectionType = 0

HKEY_CURRENT_USER\Network\K
DeferFlags = 4

その他

ワームは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Network\K

以下のスケジュールされたタスクを追加します：

• Task name: QQMusic
  Task to be run: {malware directory}\{malware filename}

モバイル端末を狙う不正プログラムの不正活動

ワームは、以下の不正なWebサイトにアクセスします。

• {BLOCKED}.{BLOCKED}.255.1 to 2
• {BLOCKED}.{BLOCKED}.255.4
• {BLOCKED}.{BLOCKED}.255.6 to 8
• {BLOCKED}.{BLOCKED}.255.10
• {BLOCKED}.{BLOCKED}.255.12 to 14
• {BLOCKED}.{BLOCKED}.255.16
• {BLOCKED}.{BLOCKED}.255.18 to 20
• {BLOCKED}.{BLOCKED}.255.22
• {BLOCKED}.{BLOCKED}.255.24
• {BLOCKED}.{BLOCKED}.255.26 to 28
• {BLOCKED}.{BLOCKED}.255.30
• {BLOCKED}.{BLOCKED}.255.32
• {BLOCKED}.{BLOCKED}.255.34
• {BLOCKED}.{BLOCKED}.255.36
• {BLOCKED}.{BLOCKED}.255.38
• {BLOCKED}.{BLOCKED}.255.40
• {BLOCKED}.{BLOCKED}.255.42
• {BLOCKED}.{BLOCKED}.255.44
• {BLOCKED}.{BLOCKED}.255.46
• {BLOCKED}.{BLOCKED}.255.48
• {BLOCKED}.{BLOCKED}.255.50
• {BLOCKED}.{BLOCKED}.255.52
• {BLOCKED}.{BLOCKED}.255.54
• {BLOCKED}.{BLOCKED}.255.56
• {BLOCKED}.{BLOCKED}.255.58
• {BLOCKED}.{BLOCKED}.255.60
• {BLOCKED}.{BLOCKED}.255.62
• {BLOCKED}.{BLOCKED}.255.64
• {BLOCKED}.{BLOCKED}.255.66
• {BLOCKED}.{BLOCKED}.255.68
• {BLOCKED}.{BLOCKED}.255.70
• {BLOCKED}.{BLOCKED}.255.72
• {BLOCKED}.{BLOCKED}.255.74
• {BLOCKED}.{BLOCKED}.255.76
• {BLOCKED}.{BLOCKED}.255.78
• {BLOCKED}.{BLOCKED}.255.80
• {BLOCKED}.{BLOCKED}.255.82
• {BLOCKED}.{BLOCKED}.255.84
• {BLOCKED}.{BLOCKED}.255.86
• {BLOCKED}.{BLOCKED}.255.88
• {BLOCKED}.{BLOCKED}.255.90
• {BLOCKED}.{BLOCKED}.255.92
• {BLOCKED}.{BLOCKED}.255.94
• {BLOCKED}.{BLOCKED}.255.96
• {BLOCKED}.{BLOCKED}.255.98
• {BLOCKED}.{BLOCKED}.255.100
• {BLOCKED}.{BLOCKED}.255.102
• {BLOCKED}.{BLOCKED}.255.104 to 108
• {BLOCKED}.{BLOCKED}.255.110
• {BLOCKED}.{BLOCKED}.255.112
• {BLOCKED}.{BLOCKED}.255.114 to 120
• {BLOCKED}.{BLOCKED}.255.124 to 126
• {BLOCKED}.{BLOCKED}.255.130
• {BLOCKED}.{BLOCKED}.255.132
• {BLOCKED}.{BLOCKED}.255.134
• {BLOCKED}.{BLOCKED}.255.136 to 137
• {BLOCKED}.{BLOCKED}.255.146
• {BLOCKED}.{BLOCKED}.255.149 to 150
• {BLOCKED}.{BLOCKED}.255.152 to 213
• {BLOCKED}.{BLOCKED}.255.222 to 223
• {BLOCKED}.{BLOCKED}.255.227 to 254
• auto.{BLOCKED}.org:443
• {BLOCKED}.shop