WORM_KASIDET.SC

トレンドマイクロは、このワームをNoteworthy（要注意）に分類しました。

このワームは、ボット「Neutrino」（「Kasidet」）に関連する検体の１つです。このワームのコードは、2015年7年にアンダーグラウンドのフォーラムで流出しました。このワームは特にWindowsのオペレーティング・システム(OS)上で実行されているPOS（販売時点情報管理）システムに影響を与えます。

ワームは、リムーバブルドライブを介してコンピュータに侵入します。 ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。

ワームは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

侵入方法

ワームは、リムーバブルドライブを介してコンピュータに侵入します。

ワームは、ネットワーク共有フォルダを経由してコンピュータに侵入します。

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ワームは、以下のファイルを作成します。

• %User Temp%\incl1
• %User Temp%\incl2
• %User Temp%\{random digits 1}
• %User Temp%\{random digits 2}

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

ワームは、以下のファイルを作成し実行します。

• %User Temp%\delself.bat ← used to delete itself

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

ワームは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Application Data%\OWZCEN323F\{random filename}.exe

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

ワームは、以下のフォルダを作成します。

• %Application Data%\OWZCEN323F
• %Application Data%\OWZCEN323F\logs

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

ワームは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• OWZCEN323F

自動実行方法

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
{random filename}.exe = "%Application Data%\OWZCEN323F\{random filename}.exe" ← (if user is Admin)

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
{random filename}.exe = "%Application Data%\OWZCEN323F\{random filename}.exe"

他のシステム変更

ワームは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\N3NNetwork

ワームは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\N3NNetwork
arr = "{base-64 value}"

HKEY_CURRENT_USER\Software\N3NNetwork
rate = "{value}"

HKEY_CURRENT_USER\Software\N3NNetwork
{random digits} = "{value}"

感染活動

ワームは、すべてのリムーバブルドライブ内に以下として自身のコピーを作成します。

• {Drive Letter}:\{random filename}.exe

ワームは、以下のファイル名を用いて、ネットワーク共有フォルダ内に自身のコピーを作成します。

• PhotoExplorer.exe

ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。

上記INFファイルには、以下の文字列が含まれています。

[autorun]
OPEN={random filename}.exe
action=Run

バックドア活動

ワームは、不正リモートユーザからの以下のコマンドを実行します。

• Download and Execute Files (.vbs, .dll)
• Find Files
• Update itself
• Uninstall itself
• Perform Remote Shell
• Visit Specific URL
• Performs DDOS attack
• Spread to Removable drives
• Spread to Network Shares folder:
  • ShareDocs
  • Admin
  • C
  • D
  • E
• Create Schedule Task (pointed to itself)
• Modifies Shortcuts files in Startup Folder (pointed to itself)
• Log Keystrokes
• Copy Clipboard
• Capture screenshots

ワームは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• http://{BLOCKED}n.in/ServerSide/tasks.php

ただし、情報公開日現在、このWebサイトにはアクセスできません。

情報漏えい

ワームは、以下の情報を収集します。

• OS Version
• Machine GUID
• Installed AV Software

その他

ワームが作成し実行する以下のファイルは、自身を削除するために利用されます。

• %User Temp%\delself.bat

ワームは、不正リモートユーザからの以下のコマンドを実行します。

• ファイル（拡張子"vbs","dll")のダウンロードおよび実行
• ファイルの検索
• 自身の更新
• 自身のアンインストール
• リモートシェルの実行
• 特定のURLに訪問
• 「分散型サービス拒否（DDoS）攻撃」の実行
• リムーバブルドライブへ拡散
• 以下のネットワーク共有フォルダへ拡散
  • ShareDocs
  • Admin
  • C
  • D
  • E
• スケジュールタスクを作成(自身を示す)
• スタートアップフォルダ内のショートカットファイルの変更(自身を示す)
• キー入力操作情報の記録
• クリップボードのコピー
• スクリーンショットのキャプチャ

ワームが収集する情報は以下のとおりです。

• OSのバージョン
• コンピュータのGUID
• インストールされたセキュリティ対策製品

"{random filename}"には、"svchost.exe"または"%Windows%"ディレクトリ内で確認される以下の文字列を含まないEXEファイルのいずれかが当てはまります。

• install
• setup
• update
• patch

ワームは、以下のプロセスを除く実行中のすべてのプロセスのメモリをスキャンし、トラック1およびトラック2のクレジットカード情報を取得します。

• [System]
• smss.exe
• csrss.exe
• winlogon.exe
• lsass.exe
• spoolsv.exe
• devenv.exe

ワームは、以下のブラウザおよびクライアントのWindows APIをフックします。

• Firefox
• Chrome
• Internet Explorer
• Opera
• FTP client server

ワームは以下を確認します。

• 実行中のプロセス
  • SandboxieRpcSs.exe
  • SandboxieDcomLaunch.exe
• デバッカ
  • リモートデバッカ
• コンピュータ名が以下の文字列を含んでいるかどうか。
  • MALTEST
  • TEQUILABOOMBOOM
  • SANDBOX
  • VIRUS
  • MALWARE
• ファイルのパスが以下の文字列を含んでいるかどうか。
  • SAMPLE
  • VIRUS
  • SANDBOX
• "kernel32.dll"が以下の関数をエクスポートするかどうか。
  • wine_get_unix_file_name
• 以下のいずれかのレジストリが存在するかどうか。
  • HKEY_LOCAL_MACHINE\SOFTWARE\VMware, Inc.\VMware Tools
  • HKEY_LOCAL_MACHINE\SOFTWARE\Oracle\VirtualBox Guest Additions
• 以下のレジストリ値が、"VMWARE"、"VBOX"、"QEMU"を含んでいるかどうか。
  • HKEY_LOCAL_MACHINE\HARDWARE\DEVICEMAP\Scsi\Scsi Port 0\Scsi Bus 0\Target Id 0\Logical Unit Id 0
    Identifier
• 以下のレジストリ値が、"VBOX"、"QEMU"、"BOCHS"を含んでいるかどうか。
  • HKEY_LOCAL_MACHINE\HARDWARE\Description\System
    SystemBiosVersion
• 以下のレジストリ値が、"VIRTUALBOX"を含んでいるかどうか。
  • HKEY_LOCAL_MACHINE\HARDWARE\Description\System
    VideoBiosVersion

いずれかの条件が一致した場合、ワームは自身を終了し、エラー画面を表示します。