WORM_IPPEDO.EP

ワームは、リムーバブルドライブを介してコンピュータに侵入します。 ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ワームは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

侵入方法

ワームは、リムーバブルドライブを介してコンピュータに侵入します。

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ワームは、以下のファイルを作成します。

• %System Root%\Google\Windowsupdate.lnk
• %System Root%\Google\GoogleUpdate.lnk
• {All Drive}\Skypee\Windowsupdate.lnk
• {All Drive}\Skypee\Googleupdate.lnk

(註：%System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.)

ワームは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %System Root%\Google\{malware name}
• {All Drive}\Skypee\{malware name}

(註：%System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.)

ワームは、以下のフォルダを作成します。

• %System Root%\Google
• %System Root%\Skypee

(註：%System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.)

ワームは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• googleupdate

ワームは、感染コンピュータ上のメモリに以下のプロセスを確認すると、自身を終了します。

• combination of the following processes:
  • avp.exe, zonealarm.exe, avguard.exe
  • tcpview.exe, procmon.exe, nod32kui.exe
  • kavmm.exe, procmon.exe, fsbwsys.exe
  • vmacthlp.exe, avp.exe, kavsvc.exe
• VBoxService.exe
• VBoxTray.exe
• guninraik.exe
• SbieSvc.exe
• VMWareTray.exe
• VMWareUser.exe
• VMWareService.exe
• FortiTracer.exe
• vmacthlp.exe
• vmtoolsd.exe
• BehaviorDumper.exe
• FakeHTTPServer.exe
• FakeServer.exe

自動実行方法

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Run
Windows Update = “%System Root%\Google\Windowsupdate.lnk”

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Windows Update = “%System Root%\Google\Windowsupdate.lnk”

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Run
JavaUpdate = “%System Root%\Google\GoogleUpdate.lnk”

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
AdopeUpdate = “%System Root%\Google\GoogleUpdate.lnk”

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Run
NewJavaInstall = “%System Root%\Google\{malware name}”

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
AdopeFlash = “%System Root%\Google\{malware name}”

ワームは、＜Common Startup＞フォルダ内に以下のように自身のコピーを作成します。これにより、Windows起動時に自身のコピーの自動実行が可能となります。

• Windows Update.lnk
• GoogleUpdate.lnk

他のシステム変更

ワームは、以下のファイルを削除します。

• googleupdate.vbs

ワームは、以下のレジストリ値を変更します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
ShowSuperHidden = “0”

(註：変更前の上記レジストリ値は、「{User Preference}」となります。)

ワームは、以下のレジストリキーを削除します。

HKEY_CLASSES_ROOT\lnkfile
IsShortcut =

感染活動

ワームは、すべての物理ドライブおよびリムーバブルドライブ内に以下のフォルダを作成します。

• {All Drive}\Skypee

ワームは、すべての物理ドライブおよびリムーバブルドライブ内に以下として自身のコピーを作成します。

• {All Drive}\Skypee\{malware name}

バックドア活動

ワームは、不正リモートユーザからの以下のコマンドを実行します。

• Restart malware
• Display message box
• Access a a url specified by remote user
• Execute command through cmd.exe
• Download arbitrary files
• Restart
• Uninstall malware
• Update copy
• Capture screenshot
• Create executable file with arbitrary code

ワームは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• colaa.{BLOCKED}tp.com:2015

情報漏えい

ワームは、以下の情報を収集します。

• Malware ID
• Computer Home Drive
• Computer Name
• User Name
• Country
• OS Version
• OS Architecture
• Webcam Info(“Yes” or “No”)
• Malware Version
• Installed AV application
• Active Window Title

その他

ワームは、以下のいずれかのファイルが存在している場合、自身を終了します。

• snxhk.dll
• tracer.dll
• SbieDll.dll
• api_log.dll
• dir_watch.dll
• dbghelp.dll
• monitornet.dll
• cuckoo
• SandCastle
• sandbox
• tracer.dll

ワームは、以下のWebサイトにアクセスし、感染コンピュータの位置情報を取得します。

• http://www.geoplugin.net/json.gp