WORM_DOWNAD.FR

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ワームは、特定の脆弱性を利用した感染活動を実行します。

侵入方法

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ワームは、以下のファイルを作成します。

• {Drive}\autorun.inf

ワームは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• {Drive}\RECYCLER\{SID}\{Random characters}.{Random extension}
• \{Server host name}\ADMIN$\System32\{Random characters}.{Random extension}
• %Application Data%\{Random characters}.dll
• %Program Files%\Internet Explorer\{Random characters}.dll
• %Program Files%\Movie Maker\{Random characters}.dll
• %System%\{Random characters}.dll
• %System%\{Random characters}.tmp
• %Temp%\{Random characters}.dll
• %Temp%\{Random characters}.tmp

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。. %Program Files%フォルダは、デフォルトのプログラムファイルフォルダです。C:\Program Files in Windows 2000(32-bit)、Server 2003(32-bit)、XP、Vista(64-bit)、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files"です。また、Windows XP(64-bit)、Vista(64-bit)、7(64-bit)、8(64-bit)、8.1(64-bit)、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files（x86）" です。. %System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.. %Temp%フォルダは、一時的にファイルが保存されるフォルダで、いずれのオペレーティングシステム(OS)でも通常、 "C:\Windows\Temp" です。.)

ワームは、以下のプロセスを追加します。

• netsh interface tcp set global autotuning=disabled (Disables TCP/IP auto-tuning if the sample is running on Windows Vista)

ワームは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• {Random characters}
• Global\{Random characters based on computer name}-7

ワームは、以下のプロセスにコードを組み込みます。

• svchost.exe
• explorer.exe
• services.exe (If the sample is running on Windows 2000)

自動実行方法

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\{Control set}\
services\{Random characters}
DisplayName = {Random string}

HKEY_LOCAL_MACHINE\SYSTEM\{Control set}\
services\{Random characters}
Start = 2

HKEY_LOCAL_MACHINE\SYSTEM\{Control set}\
services\{Random characters}
ImagePath = %SystemRoot%\system32\svchost.exe -k netsvcs

HKEY_LOCAL_MACHINE\SYSTEM\{Control set}\
services\{Random characters}\Parameters
ServiceDll = %System%\{Random characters}.dll

HKEY_CURRENT_USERSoftware\Microsoft\Windows\
CurrentVersion\Run
{Random characters} = rundll32.exe {Malware file name and path}, {Parameter}

他のシステム変更

ワームは、インストールの過程で、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Applets
dl = 0

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Applets
ds = 0

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Applets
dl = 0

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Applets
ds = 0

ワームは、以下のレジストリ値を変更し、隠しファイル属性のファイルを非表示にします。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced\Folder\Hidden\
SHOWALL
CheckedValue = 0

その他

ワームは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SYSTEM\{Control set}\
services\{Random characters}

ワームは、以下のWebサイトにアクセスして感染コンピュータのIPアドレスを収集します。

• http://www.{BLOCKED}p.org
• http://www.{BLOCKED}yipaddress.com
• http://www.{BLOCKED}myip.org
• http://{BLOCKED}.dyndns.org

ワームは、以下のタイムサーバにアクセスし、現在の日付を確認します。

• ask.com
• yahoo.com
• google.com
• baidu.com
• myspace.com
• msn.com
• ebay.com
• cnn.com
• aol.com

ワームは、以下を実行します。

• It disables the windows defender and delete registry entries pertaining to Windows Defender auto start mechanism.
• It patches %System%\drivers\tcpip.sys after loading it in the memory to spread more rapidly across a network.
• It generates a set of domains based on the returned system time. If a domain is active among the generated domains, it formats its response to http://{Address}/search?q={Number} to download files.
• It creates an HTTP server with the format http://{IP address}:{Random port} to propagate over the Internet.
• It deletes all system restore points to disable user from reverting back to a previous system restore point.
• It hooks the following API to avoid the exploitation of the used vulnerability:
  • NetpwPathCanonicalize
• It hooks the following API to block user access to certain sites:
  • DNS_Query_A
  • DNS_Query_UTF8
  • DNS_Query_W
  • Query_Main
  • sendto
• It modifies the following registry entries to execute its copy:
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Svchost
    • netsvcs = {Old data}, {Appended created malicious service registry entry}
      
• It adds the following registry entries to spread more rapidly across a network:
  • In HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters
    • TcpNumConnections = 0x00fffffe
      
• It creates a scheduled task with the following command on a remote server with brute-forced credentials to execute its copy:
  • rundll32.exe {Random characters}.{Random extension}, {Parameter}
• It creates the following named pipe to allow external hosts or local processes to connect and upload a binary:
  • \.\pipe\System_{Computer name}7
• It blocks infected systems from visiting certain sites containing the following strings:
  • ccert
  • sans
  • bit9
  • vet
  • avg
  • avp
  • ca
  • nai
  • windowsupdate
  • wilderssecurity
  • threatexpert
  • castlecops
  • spamhaus
  • cpsecure
  • arcabit
  • emsisoft
  • sunbelt
  • securecomputing
  • rising
  • prevx
  • pctools
  • norman
  • k7computing
  • ikarus
  • hauri
  • hacksoft
  • gdata
  • fortinet
  • ewido
  • clamav
  • comodo
  • quickheal
  • avira
  • avast
  • esafe
  • ahnlab
  • centralcommand
  • drweb
  • grisoft
  • eset
  • nod32
  • f-prot
  • jotti
  • kaspersky
  • f-secure
  • computerassociates
  • networkassociates
  • etrust
  • panda
  • sophos
  • trendmicro
  • mcafee
  • norton
  • symantec
  • microsoft
  • defender
  • rootkit
  • malware
  • spyware
  • virus
• It uses the following strings to generate service registry entry name:
  • Boot
  • Center
  • Config
  • Driver
  • Helper
  • Image
  • Installer
  • Manager
  • Microsoft
  • Monitor
  • Network
  • Security
  • Server
  • Shell
  • Support
  • System
  • Task
  • Time
  • Universal
  • Update
  • Windows
• It uses the following credentials to brute-force vulnerable systems:
  • 99999999
  • 9999999
  • 999999
  • 99999
  • 9999
  • 999
  • 99
  • 9
  • 88888888
  • 8888888
  • 888888
  • 88888
  • 8888
  • 888
  • 88
  • 8
  • 77777777
  • 7777777
  • 777777
  • 77777
  • 7777
  • 777
  • 77
  • 7
  • 66666666
  • 6666666
  • 666666
  • 66666
  • 6666
  • 666
  • 66
  • 6
  • 55555555
  • 5555555
  • 555555
  • 55555
  • 5555
  • 555
  • 55
  • 5
  • 44444444
  • 4444444
  • 444444
  • 44444
  • 4444
  • 444
  • 44
  • 4
  • 33333333
  • 3333333
  • 333333
  • 33333
  • 3333
  • 333
  • 33
  • 3
  • 22222222
  • 2222222
  • 222222
  • 22222
  • 2222
  • 222
  • 22
  • 2
  • 11111111
  • 1111111
  • 111111
  • 11111
  • 1111
  • 111
  • 11
  • 1
  • 00000000
  • 0000000
  • 00000
  • 0000
  • 000
  • 00
  • 0987654321
  • 987654321
  • 87654321
  • 7654321
  • 654321
  • 54321
  • 4321
  • 321
  • 21
  • 12
  • fuck
  • zzzzz
  • zzzz
  • zzz
  • xxxxx
  • xxxx
  • xxx
  • qqqqq
  • qqqq
  • qqq
  • aaaaa
  • aaaa
  • aaa
  • sql
  • file
  • web
  • foo
  • job
  • home
  • work
  • intranet
  • controller
  • killer
  • games
  • private
  • market
  • coffee
  • cookie
  • forever
  • freedom
  • student
  • account
  • academia
  • files
  • windows
  • monitor
  • unknown
  • anything
  • letitbe
  • letmein
  • domain
  • access
  • money
  • campus
  • explorer
  • exchange
  • customer
  • cluster
  • nobody
  • codeword
  • codename
  • changeme
  • desktop
  • security
  • secure
  • public
  • system
  • shadow
  • office
  • supervisor
  • superuser
  • share
  • super
  • secret
  • server
  • computer
  • owner
  • backup
  • database
  • lotus
  • oracle
  • business
  • manager
  • temporary
  • ihavenopass
  • nothing
  • nopassword
  • nopass
  • Internet
  • internet
  • example
  • sample
  • love123
  • boss123
  • work123
  • home123
  • mypc123
  • temp123
  • test123
  • qwe123
  • abc123
  • pw123
  • root123
  • pass123
  • pass12
  • pass1
  • admin123
  • admin12
  • admin1
  • password123
  • password12
  • password1
  • default
  • foobar
  • foofoo
  • temptemp
  • temp
  • testtest
  • test
  • rootroot
  • root
  • adminadmin
  • mypassword
  • mypass
  • pass
  • Login
  • login
  • Password
  • password
  • passwd
  • zxcvbn
  • zxcvb
  • zxccxz
  • zxcxz
  • qazwsxedc
  • qazwsx
  • q1w2e3
  • qweasdzxc
  • asdfgh
  • asdzxc
  • asddsa
  • asdsa
  • qweasd
  • qwerty
  • qweewq
  • qwewq
  • nimda
  • administrator
  • Admin
  • admin
  • a1b2c3
  • 1q2w3e
  • 1234qwer
  • 1234abcd
  • 123asd
  • 123qwe
  • 123abc
  • 123321
  • 12321
  • 123123
  • 1234567890
  • 123456789
  • 12345678
  • 1234567
  • 123456
  • 12345
  • 1234
  • 123

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

ワームは、以下の脆弱性を利用して感染活動を実行します。

• Microsoft Security Bulletin MS08-067

<補足>
インストール

ワームは、以下のファイルを作成します。

• {ドライブ}\autorun.inf

ワームは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• {ドライブ}\RECYCLER\{SID}\{ランダムな文字列}.{ランダムな拡張子}
• \{サーバのホスト名}\ADMIN$\System32\{ランダムな文字列}.{ランダムな拡張子}
• %Application Data%\{ランダムな文字列}.dll
• %Program Files%\Internet Explorer\{ランダムな文字列}.dll
• %Program Files%\Movie Maker\{ランダムな文字列}.dll
• %System%\{ランダムな文字列}.dll
• %System%\{ランダムな文字列}.tmp
• %Temp%\{ランダムな文字列}.dll
• %Temp%\{ランダムな文字列}.tmp

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。. %Program Files%フォルダは、デフォルトのプログラムファイルフォルダです。C:\Program Files in Windows 2000(32-bit)、Server 2003(32-bit)、XP、Vista(64-bit)、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files"です。また、Windows XP(64-bit)、Vista(64-bit)、7(64-bit)、8(64-bit)、8.1(64-bit)、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files（x86）" です。. %System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.. %Temp%フォルダは、一時的にファイルが保存されるフォルダで、いずれのオペレーティングシステム(OS)でも通常、 "C:\Windows\Temp" です。.)

ワームは、以下のプロセスを追加します。

• netsh interface tcp set global autotuning=disabled (ワームがWindows Vista上で動作している場合はTCP/IPの自動チューニングを無効化する)

ワームは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• {ランダムな文字列}
• Global\{コンピュータ名に基づくランダムな文字列}-7

ワームは、以下のプロセスにコードを組み込みます。

• svchost.exe
• explorer.exe
• services.exe (ワームがWindows 2000で動作している場合)

自動実行方法

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\{コントロールセット}\
services\{ランダムな文字列}
DisplayName = {ランダムな文字列}

HKEY_LOCAL_MACHINE\SYSTEM\{コントロールセット}\
services\{ランダムな文字列}
Start = 2

HKEY_LOCAL_MACHINE\SYSTEM\{コントロールセット}\
services\{ランダムな文字列}
ImagePath = %SystemRoot%\system32\svchost.exe -k netsvcs

HKEY_LOCAL_MACHINE\SYSTEM\{コントロールセット}\
services\{ランダムな文字列}\Parameters
ServiceDll = %System%\{ランダムな文字列}.dll

HKEY_CURRENT_USERSoftware\Microsoft\Windows\
CurrentVersion\Run
{ランダムな文字列} = rundll32.exe {マルウェアのファイル名およびパス}, {パラメータ}

その他

ワームは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SYSTEM\{コントロールセット}\
services\{ランダムな文字列}

ワームは、以下のWebサイトにアクセスして感染コンピュータのIPアドレスを収集します。

• http://www.{BLOCKED}p.org
• http://www.{BLOCKED}yipaddress.com
• http://www.{BLOCKED}myip.org
• http://{BLOCKED}.dyndns.org

ワームは、以下のタイムサーバにアクセスし、現在の日付を確認します。

• ask.com
• yahoo.com
• google.com
• baidu.com
• myspace.com
• msn.com
• ebay.com
• cnn.com
• aol.com

ワームは、以下を実行します。

• Windows Defenderを無効化し、Windows Defenderの自動起動に関与するレジストリエントリを削除します。
• ネットワーク上での拡散を高速化するため、%System%\drivers\tcpip.sysをメモリ上にロード後、その内容を書き換えます。
• 返却されたシステム時刻に基づいてドメイン名のセットを生成します。その中にアクティブなドメインが存在する場合、「http://{生成したドメイン名}/search?q={数値}」の形式による応答を返すことで、ファイルをダウンロードします。
• インターネット上で拡散するため、「http://{IPアドレス}:{ランダムなポート番号}」の形式によるHTTPサーバを作成します。
• ユーザによってシステムが前回の復元ポイントに戻される状況を妨害する手段として、システムの復元ポイントを全て削除します。
• すでに感染済みの端末が再感染しないように、下記APIをフックすることで、利用済みの脆弱性を再利用できない状態にします。
  • NetpwPathCanonicalize
• ユーザによる特定サイトへのアクセスを阻止するために下記APIをフックします。
  • DNS_Query_A
  • DNS_Query_UTF8
  • DNS_Query_W
  • Query_Main
  • sendto
• 自身のコピーを実行するために下記レジストリエントリを変更します。
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Svchost
    • netsvcs = {古いデータ}, {新規作成された不正なサービスのレジストリエントリ}
      
• ネットワーク上での拡散を高速化するため、下記のレジストリエントリを追加します。
  • 追加 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters
    • TcpNumConnections = 0x00fffffe
      
• ブルートフォース方式の認証情報を用いて自身のコピーを実行するために、リモートサーバ上で下記コマンドによるタスクスケジュールを登録します。
  • rundll32.exe {ランダムな文字列}.{ランダムな拡張子}, {パラメータ}
• 外部ホストおよびローカルプロセスから接続またはアップロードできるようにするため、下記の名前付きパイプを作成します。
  • \.\pipe\System_{コンピュータ名}7
• 感染システムから下記文字列を含むサイトへのアクセスをブロックします。
  • ccert
  • sans
  • bit9
  • vet
  • avg
  • avp
  • ca
  • nai
  • windowsupdate
  • wilderssecurity
  • threatexpert
  • castlecops
  • spamhaus
  • cpsecure
  • arcabit
  • emsisoft
  • sunbelt
  • securecomputing
  • rising
  • prevx
  • pctools
  • norman
  • k7computing
  • ikarus
  • hauri
  • hacksoft
  • gdata
  • fortinet
  • ewido
  • clamav
  • comodo
  • quickheal
  • avira
  • avast
  • esafe
  • ahnlab
  • centralcommand
  • drweb
  • grisoft
  • eset
  • nod32
  • f-prot
  • jotti
  • kaspersky
  • f-secure
  • computerassociates
  • networkassociates
  • etrust
  • panda
  • sophos
  • trendmicro
  • mcafee
  • norton
  • symantec
  • microsoft
  • defender
  • rootkit
  • malware
  • spyware
  • virus
• サービスに関連するレジストリエントリの名前を生成するために下記の文字列を使用します。
  • Boot
  • Center
  • Config
  • Driver
  • Helper
  • Image
  • Installer
  • Manager
  • Microsoft
  • Monitor
  • Network
  • Security
  • Server
  • Shell
  • Support
  • System
  • Task
  • Time
  • Universal
  • Update
  • Windows
• ブルートフォースに脆弱なシステムに対し、下記の認証情報を使用します。
  • 99999999
  • 9999999
  • 999999
  • 99999
  • 9999
  • 999
  • 99
  • 9
  • 88888888
  • 8888888
  • 888888
  • 88888
  • 8888
  • 888
  • 88
  • 8
  • 77777777
  • 7777777
  • 777777
  • 77777
  • 7777
  • 777
  • 77
  • 7
  • 66666666
  • 6666666
  • 666666
  • 66666
  • 6666
  • 666
  • 66
  • 6
  • 55555555
  • 5555555
  • 555555
  • 55555
  • 5555
  • 555
  • 55
  • 5
  • 44444444
  • 4444444
  • 444444
  • 44444
  • 4444
  • 444
  • 44
  • 4
  • 33333333
  • 3333333
  • 333333
  • 33333
  • 3333
  • 333
  • 33
  • 3
  • 22222222
  • 2222222
  • 222222
  • 22222
  • 2222
  • 222
  • 22
  • 2
  • 11111111
  • 1111111
  • 111111
  • 11111
  • 1111
  • 111
  • 11
  • 1
  • 00000000
  • 0000000
  • 00000
  • 0000
  • 000
  • 00
  • 0987654321
  • 987654321
  • 87654321
  • 7654321
  • 654321
  • 54321
  • 4321
  • 321
  • 21
  • 12
  • fuck
  • zzzzz
  • zzzz
  • zzz
  • xxxxx
  • xxxx
  • xxx
  • qqqqq
  • qqqq
  • qqq
  • aaaaa
  • aaaa
  • aaa
  • sql
  • file
  • web
  • foo
  • job
  • home
  • work
  • intranet
  • controller
  • killer
  • games
  • private
  • market
  • coffee
  • cookie
  • forever
  • freedom
  • student
  • account
  • academia
  • files
  • windows
  • monitor
  • unknown
  • anything
  • letitbe
  • letmein
  • domain
  • access
  • money
  • campus
  • explorer
  • exchange
  • customer
  • cluster
  • nobody
  • codeword
  • codename
  • changeme
  • desktop
  • security
  • secure
  • public
  • system
  • shadow
  • office
  • supervisor
  • superuser
  • share
  • super
  • secret
  • server
  • computer
  • owner
  • backup
  • database
  • lotus
  • oracle
  • business
  • manager
  • temporary
  • ihavenopass
  • nothing
  • nopassword
  • nopass
  • Internet
  • internet
  • example
  • sample
  • love123
  • boss123
  • work123
  • home123
  • mypc123
  • temp123
  • test123
  • qwe123
  • abc123
  • pw123
  • root123
  • pass123
  • pass12
  • pass1
  • admin123
  • admin12
  • admin1
  • password123
  • password12
  • password1
  • default
  • foobar
  • foofoo
  • temptemp
  • temp
  • testtest
  • test
  • rootroot
  • root
  • adminadmin
  • mypassword
  • mypass
  • pass
  • Login
  • login
  • Password
  • password
  • passwd
  • zxcvbn
  • zxcvb
  • zxccxz
  • zxcxz
  • qazwsxedc
  • qazwsx
  • q1w2e3
  • qweasdzxc
  • asdfgh
  • asdzxc
  • asddsa
  • asdsa
  • qweasd
  • qwerty
  • qweewq
  • qwewq
  • nimda
  • administrator
  • Admin
  • admin
  • a1b2c3
  • 1q2w3e
  • 1234qwer
  • 1234abcd
  • 123asd
  • 123qwe
  • 123abc
  • 123321
  • 12321
  • 123123
  • 1234567890
  • 123456789
  • 12345678
  • 1234567
  • 123456
  • 12345
  • 1234
  • 123

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

ワームは、以下の脆弱性を利用して感染活動を実行します。

• Microsoft Security Bulletin MS08-067