WORM_KASIDET.NM

トレンドマイクロは、このワームをNoteworthy（要注意）に分類しました。

このワームは、ボット「Neutrino」（「Kasidet」）に関連する検体の１つです。このワームのコードは、2015年7月にアンダーグラウンドのフォーラムで流出しました。POSシステムの情報を収集する機能を備えているこのワームは、エクスプロイトキット「Sundown」のペイロードです。

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ワームは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

侵入方法

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ワームは、以下のファイルを作成します。

• %User Temp%\nsu2C5.tmp
• %User Temp%\bin.exe
• %User Temp%\nsz2C6.tmp\Samian.dll
• %Application Data%\tag(2)
• %Application Data%\Read Me Info.txt
• %Application Data%\jackajeoaer.jpg
• %Application Data%\index(11).php
• %Application Data%\photo(5).jpg;

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.. %Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

感染活動

ワームは、すべてのリムーバブルドライブ内に以下として自身のコピーを作成します。

• {Drive Letter}:\WinSystemKB001.exe -copy of itself
• {Drive Letter}:\autorun.inf - autorun technique

バックドア活動

ワームは、不正リモートユーザからの以下のコマンドを実行します。

• Loads arbitrary file
• Find files
• Spread through removable drives
• Infect .RAR files
• Perform Flood attacks (HTTP, SLOW, DWFLOOD, TCP, UDP, SMART, HTTPS)
• Start keylogging routine
• Update itself
• Uninstall itself
• Perform remote shell
• Modify HOSTS file
• Search running process for credit card data

ワームは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• http://www.{BLOCKED}eagaaa.ws/login/tasks.php
• http://www.{BLOCKED}tycheckpointsdomain.com/users/tasks.php
• http://www.{BLOCKED}tydomains1.com/security/tasks.php
• http://www.{BLOCKED}esecurity.ws/login/tasks.php

情報漏えい

ワームは、以下の情報を収集します。

• User ID
• OS Version
• AV software installed
• NAT installed
• Product key

ワームは、不正リモートユーザからの以下のコマンドを実行します。

• 任意のファイルの読み込み
• ファイルの検索
• リムーバブルディスクを介して拡散
• RARファイルに感染
• フラッド攻撃の実行（HTTP、SLOW、DWFLOOD、TCP、UDP、SMART、HTTPS）
• キー入力操作情報の収集を開始
• 自身の更新
• 自身のアンインストール
• リモートシェルの実行
• HOSTSファイルの改変
• 実行中のクレジットカード情報のプロセスを検索

ワームが収集する情報は以下のとおりです。

• ユーザID
• OSのバージョン
• インストールされているセキュリティ対策製品
• インストールされているNAT
• プロダクトキー

ランダムに名付けられたファイルは、以下のいずれかが当てはまります。

• KIS_keygen.exe
• Keygen.exe
• RealPhoto.exe
• Readme.exe
• Tutorial.exe
• photo_private.exe
• WinUpdate.exe
• CS16.exe
• VKHackePri8.exe
• DotaMagic.exe
• Update.exe

ワームは以下を確認します。

• デバッカおよび仮想化されたレジストリおよびアプリケーション
  • VMWare
  • Wine
  • Sandboxie
  • Qemu
  • VirtualBox
• 以下の文字列を含むコンピュータ名
  • MALTEST
  • TEQUILABOOMBOOM
  • SANDBOX
  • VIRUS
  • MALWARE
• 以下の文字列を含むファイルのパス
  • \SAMPLE
  • \VIRUS
  • SANDBOX

いずれかの条件に一致する場合は、ワームは自身を終了し、エラーメッセージを表示します。