Worm.Win32.YAHOS.AB

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ワームは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。 ワームは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ワームは、以下のフォルダを追加します。

• %Windows%\M-5050453680240545040250450525
• {Removable or Network Drive}\_

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

ワームは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Windows%\M-5050453680240545040250450525\winmgr.exe
• {Removable or Network Drive}\Device Manager.exe

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

ワームは、以下のファイルを作成します。

• %Application Data%\winmgr.txt
• {Removable or Network Drive}\autorun.inf
• {Removable or Network Drive}\.lnk or {Removable or Network Drive}\USB DRIVE.lnk

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

ワームは、以下のプロセスを追加します。

• %Windows%\M-5050453680240545040250450525\winmgr.exe
• %Program Files%\Internet Explorer\iexplore.exe
• {Malware Path}\{Malware Filename}.exe

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.. %Program Files%フォルダは、デフォルトのプログラムファイルフォルダです。C:\Program Files in Windows 2000(32-bit)、Server 2003(32-bit)、XP、Vista(64-bit)、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files"です。また、Windows XP(64-bit)、Vista(64-bit)、7(64-bit)、8(64-bit)、8.1(64-bit)、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files（x86）" です。)

ワームは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• qazwsxedc
• t48

ワームは、以下のプロセスにコードを組み込みます。

• {Malware Path}\{Malware Filename}.exe
• %Program Files%\Internet Explorer\iexplore.exe

(註：%Program Files%フォルダは、デフォルトのプログラムファイルフォルダです。C:\Program Files in Windows 2000(32-bit)、Server 2003(32-bit)、XP、Vista(64-bit)、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files"です。また、Windows XP(64-bit)、Vista(64-bit)、7(64-bit)、8(64-bit)、8.1(64-bit)、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files（x86）" です。)

自動実行方法

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
Microsoft Windows Manager = %Windows%\M-5050453680240545040250450525\winmgr.exe

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Microsoft Windows Manager = %Windows%\M-5050453680240545040250450525\winmgr.exe

他のシステム変更

ワームは、以下のレジストリ値を追加します。

ワームは、以下のレジストリ値を作成し、Windowsのファイアウォールを回避します。

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\AuthorizedApplications\
List
%Windows%\M-5050453680240545040250450525\winmgr.exe = %Windows%\M-5050453680240545040250450525\winmgr.exe:*:Enabled:Microsoft Windows Manager

感染活動

ワームは、以下のドライブ内に自身のコピーを作成します。

• Removable
• Network

ワームは、以下のインスタントメッセンジャ（IM）を用いて、メッセージを送信します。このメッセージにはリンクが含まれており、リンク先のリモートサイトには、自身のコピーが組み込まれています。

• Yahoo Messenger
• Skype

バックドア活動

ワームは、不正リモートユーザからの以下のコマンドを実行します。

• Uninstall itself (deletes self and remove its autorun key)
• Update itself
• Get Locale information
• Download and execute files
• Propagate via specified Instant Messaging Applications

ワームは、以下のWebサイトにアクセスし、情報を送受信します。

• sr{BLOCKED}.ru
• sr{BLOCKED}.ru

その他

ワームは、以下のWebサイトにアクセスして感染コンピュータのIPアドレスを収集します。

• http://api.wipmania.com

ワームは、以下を実行します。

• it does not proceed to routine if one of the following checking is set true:
  • checks if the following modules are loaded in memory:
    • SbieDll.dll
    • SbieDllX.dll
  • checks if the following processes are running:
    • VBoxService.exe
    • vmtoolsd.exe
  • checks if sample is under the following virtual systems:
    • qemu
    • virtual
    • vmware
• propagates via removable drives, network drives, and specified Instant Messaging applications
• moves files from removable drive to created folder {Removable or Network Drive}:\_

ワームは、以下のWebサイトにアクセスし、感染コンピュータの位置情報を取得します。

• http://api.wipmania.com

<補足>
感染活動

ワームは、以下のドライブ内に自身のコピーを作成します。

• リムーバブルドライブ
• ネットワークドライブ

バックドア活動

ワームは、不正リモートユーザからの以下のコマンドを実行します。

• 自身のアンインストール（自身および自動実行用のレジストリキーの削除）
• 自身のアップデート
• ロケール情報の取得
• ファイルのダウンロードおよび実行
• 指定されたインスタントメッセンジャ（IM）を介した拡散活動

その他

ワームは、以下を実行します。

• 以下の確認事項のいずれかがtrueである場合、自身の不正活動を継続しません。
  • 以下のモジュールがメモリ内に読み込まれているどうかを確認します。
    • SbieDll.dll
    • SbieDllX.dll
  • 以下のプロセスが実行中かどうかを確認します。
    • VBoxService.exe
    • vmtoolsd.exe
  • このワームが以下の仮想化システムの配下にあるかどうかを確認します。
  • qemu
  • virtual
  • vmware
• リムーバブルドライブ、ネットワークドライブ、および指定されたインスタントメッセンジャ（IM）を介して拡散します。
• リムーバブルドライブから、作成されたフォルダ「{リムーバブルドライブまたはネットワークドライブ}:\_」にファイルを移動します。