Worm.Win32.VICTORYGATE.A

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ワームは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ワームは、以下のフォルダを追加します。

• %Application Data%\RSnqlljBB
• %ProgramData%\BjUGOZiQd (stores the icons of files found in removable drives)
• {Removable drive letter}:\RpjLsDtaW

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。. %ProgramData%フォルダは、マルチユーザーシステムにおいて任意のユーザがプログラムに変更を加えることができるプログラムファイルフォルダのバージョンです。これには、すべてのユーザのアプリケーションデータが含まれます。Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData" です。Windows Server 2003(32-bit)、2000(32-bit)、XPの場合、通常 "C:\Documents and Settings\All Users" です。 )

ワームは、以下のファイルを作成します。

• {Removable drive letter}:\{Original filename}.exe (runs copy of itself and file found in removable drive)
• %Application Data%\RSnqlljBB\gBHZHyjmZ.exe (Aut2Exe)
• %Application Data%\RSnqlljBB\lcFCkvXHk.au3 (AutoIt version of {Removable drive letter}:\{Original filename}.exe)

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

ワームは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Application Data%\winlogoo2.exe
• {Removable drive letter}:\RpjLsDtaW\lzAXrNifF.exe

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

自動実行方法

ワームは、Windows起動時に自動実行されるよう＜User Startup＞フォルダ内に以下のファイルを作成します。

• %User Startup%\winlogoo.url.lnk (runs copy of itself)

(註：%User Startup%フォルダは、現在ログオンしているユーザのスタートアップフォルダです。Windows 98およびMEの場合、通常 "C:\Windows\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows NTの場合、通常 "C:\WINNT\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows 2003(32-bit)、XP、2000(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows Vista、7、8、 8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup" です。)

他のシステム変更

ワームは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software
BGPbVrtpy = False

バックドア活動

ワームは、以下のWebサイトにアクセスし、情報を送受信します。

• winmicrosoft.{BLOCKED}s.net

ただし、情報公開日現在、このWebサイトにはアクセスできません。

情報漏えい

トロイの木馬化されたアプリケーションが実行されると、[Malware]は、以下の情報を収集します。

• Username
• Computer name
• Preferred language

その他

ワームは、以下を実行します。

• The original files in the removable drive overwritten by the malware are placed in {Removable drive letter}:\RpjLsDtaW.

<補足>
インストール

ワームは、以下のフォルダを追加します。

• %Application Data%\RSnqlljBB
• %ProgramData%\BjUGOZiQd (リムーバブルドライブ内に存在するファイルのアイコンを保存する)
• {リムーバブルドライブレター}:\RpjLsDtaW

ワームは、以下のファイルを作成します。

• {リムーバブルドライブレター}:\{元のファイル名}.exe (リムーバブルドライブ内に存在する自身のコピーおよびファイルを実行する)
• %Application Data%\RSnqlljBB\gBHZHyjmZ.exe (Aut2Exe)
• %Application Data%\RSnqlljBB\lcFCkvXHk.au3 (AutoItバージョンの{リムーバブルドライブレター}:\{元のファイル名}.exe)

ワームは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Application Data%\winlogoo2.exe
• {リムーバブルドライブレター}:\RpjLsDtaW\lzAXrNifF.exe

自動実行方法

ワームは、Windows起動時に自動実行されるよう＜User Startup＞フォルダ内に以下のファイルを作成します。

• %User Startup%\winlogoo.url.lnk (自身のコピーを実行する)

情報漏えい

トロイの木馬化されたアプリケーションが実行されると、[Malware]は、以下の情報を収集します。

• ユーザ名
• コンピュータ名
• 感染コンピュータの言語

その他

ワームは、以下を実行します。

• ワームによって上書きされたリムーバブルドライブ内の元のファイルは、{リムーバブルドライブレター}:\RpjLsDtaW内に配置されます。