Worm.Win32.IPPEDO.AB

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ワームは、特定のレジストリ値を削除するため、アプリケーションやプログラムが正しく起動しなくなります。

侵入方法

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ワームは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %System Root%\Google\{Malware Name}
• {Drive}\Skypee\{Malware Name}

(註：%System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.)

ワームは、以下のファイルを作成します。

• %System Root%\Google\Windowsupdate.lnk
• %System Root%\Google\GoogleUpdate.lnk

(註：%System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.)

ワームは、以下のプロセスを追加します。

• %comspec /c SystemInfo → when executed in Windows 7 or Windows XP

ワームは、以下のフォルダを作成します。

• %System Root%\Google
• {Drive}\Skypee

(註：%System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.)

ワームは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• googleupdate

ワームは、感染コンピュータ上のメモリに以下のプロセスを確認すると、自身を終了します。

• combination of the following processes
  • avp.exe, zonealarm.exe, and avguard.exe
  • tcpview.exe, procmon.exe, and nod32kui.exe
  • kavmm.exe, procmon.exe, and fsbwsys.exe
  • vmacthlp.exe, avp.exe, and kavsvc.exe
• VBoxService.exe
• VBoxTray.exe
• guninraik.exe
• SbieSvc.exe
• VMwareTray.exe
• VMwareUser.exe
• VMwareService.exe
• VMwareUser.exe
• FortiTracer.exe
• vmacthlp.exe
• vmtoolsd.exe
• BehaviorDumper.exe
• FakeHTTPServer.exe
• FakeServer.exe

自動実行方法

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Run
Windows Update = %System Root%\Google\Windowsupdate.lnk

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Windows Update = %System Root%\Google\Windowsupdate.lnk

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Run
JavaUpdate = %System Root%\Google\GoogleUpdate.lnk

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
AdopeUpdate = %System Root%\Google\GoogleUpdate.lnk

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Run
NewJavaInstall = %System Root%\Google\{Malware Name}

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
AdopeFlash = %System Root%\Google\{Malware Name}

ワームは、Windows起動時に自動実行されるよう＜スタートアップ＞フォルダ内に以下のファイルを作成します。

• Windowsupdate.lnk
• GoogleUpdate.lnk

他のシステム変更

ワームは、以下のファイルを削除します。

• googleupdate.vbs

ワームは、以下のレジストリ値を変更します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
ShowSuperHidden = “0”

(註：変更前の上記レジストリ値は、「The default value data of the said registry entry is {User Preference}」となります。)

ワームは、以下のレジストリ値を削除します。

HKEY_CLASSES_ROOT\lnkfile
IsShortcut =

感染活動

ワームは、すべての物理ドライブおよびリムーバブルドライブ内に以下のフォルダを作成します。

• {Drive}\Skypee

バックドア活動

ワームは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• colaa.{BLOCKED}tp.com:2015

情報漏えい

ワームは、以下の情報を収集します。

• Malware ID
• Computer Home Drive
• Computer Name
• Username
• OS Version
• OS Architecture
• Webcam Info("Yes" or "No")
• Malware Version
• Installed AV software
• Active Window Title

その他

ワームは、以下を実行します。

• It terminates itself if system information contains the following strings:
  • Bochs
  • innotek
  • VMware
• It terminates itself if the following folders are present:
  • C:\CWSandbox
  • C:\python26
  • C:\cuckoo
• It terminates itself if the malware is executed in the following directories:
  • C:\virus
  • C:\
• It terminates itself if malware name meets the following conditions:
  • contains "artifact" string
  • contains "sample" string
  • Malware Filename does not contain "."
  • Malware Filename length exceeds 35
  • Malware Filename starts with 7 or more numbers
• It terminates itself if the following process is not present:
  • explorer.exe
• Drops copy of the files and folders in malware path to the following folder:
  • {Drive}\Skypee
• It creates the following shortcut (.LNK) files in removable drives that points to its copy:
  • My Games
  • My Pictuers
  • My Videos
  • Hot
  • Downloads
  • Movies
  • Skypee\Skypee
• It also creates shortcut (.LNK) files using folder names as its filename in folders in all of the drives that points to its copy.

ワームは、以下のいずれかのファイルが存在している場合、自身を終了します。

• snxhk.dll
• tracer.dll
• SbieDll.dll
• api_log.dll
• dir_watch.dll
• dbghelp.dll
• monitornet.dll
• cuckoo
• SandCastle
• sandbox

ワームは、以下のWebサイトにアクセスし、感染コンピュータの位置情報を取得します。

• http://www.geoplugin.net/json.gp