WORM_KELIHOS.NB

ワームは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。 ワームは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

ワームは、以下のリモートサイトからダウンロードされ、コンピュータに侵入します。

• http://{BLOCKED}.{BLOCKED}.133.133/boston.avi_______.exe
• http://{BLOCKED}.{BLOCKED}.49.130/boston.avi_______.exe
• http://{BLOCKED}ev.ru/newbos3.exe

ワームは、以下の方法でコンピュータに侵入します。

• Link found in email messages spammed by other malware/grayware or malicious users

自動実行方法

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
SonyAgent = "{Malware Path and Filename}"

他のシステム変更

ワームは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Sony

感染活動

ワームは、すべてのリムーバブルドライブ内に以下として自身のコピーを作成します。

• game.exe

バックドア活動

ワームは、不正リモートユーザからの以下のコマンドを実行します。

• Request spam email messages structure and template
• Send spam email messages
• List running processes
• Download and execute arbitrary files
• Terminate self

ワームは、以下のWebサイトにアクセスし、情報を送受信します。

• http://{BLOCKED}.{BLOCKED}.84.65/home.htm
• http://{BLOCKED}.{BLOCKED}.97.28/index.htm
• http://{BLOCKED}.{BLOCKED}.255.139/online.htm
• http://{BLOCKED}.{BLOCKED}.13.10/main.htm
• http://{BLOCKED}.{BLOCKED}.52.68/search.htm
• http://{BLOCKED}.{BLOCKED}.156.173/install.htm
• http://{BLOCKED}.{BLOCKED}.159.155/login.htm
• http://{BLOCKED}.{BLOCKED}.92.191/home.htm
• http://{BLOCKED}.{BLOCKED}.129.232/default.htm

情報漏えい

ワームは、コンピュータ内に以下のFTPクライアントまたはファイルマネージャのアカウント情報が保存されている場合、これらのアカウント情報を収集します。

• 32BitFtp
• 3DFTP
• ALFTP
• BPFTP
• BitKinex
• BlazeFtp
• Bullet Proof FTP
• BulletProof FTP Client
• BulletProof FTP Client 2009
• BulletProof FTP Client 2010
• COREFTP
• CUTEFTP
• Classic FTP
• Core FTP
• CuteFTP
• CuteFTP 6 Home
• CuteFTP 6 Professional
• CuteFTP 7 Home
• CuteFTP 7 Professional
• CuteFTP 8 Home
• CuteFTP 8 Professional
• CuteFTP Lite
• CuteFTP Pro
• DeluxeFTP
• Directory Opus
• EasyFTP
• FAR Manager FTP
• FFFTP
• FTP Commander Deluxe
• FTP Commander Pro
• FTP Explorer
• FTP Navigator
• FTP Now
• FTP Surfer
• FTP++
• FTPGetter
• FTPRush
• FTPWare
• Frigate3 FTP
• GPSoftware
• GoFTP
• Ipswitch
• LEAPFTP
• LeechFTP
• P32bit FTP
• SmartFTP
• SoftX FTP
• Staff-FTP
• TurboFTP
• WS_FTP
• WinFTP
• XFTP
• FileZilla
• SecureFX
• FlashFXP
• FlashFXP
• UltraFXP

ワームは、上述のFTPクライアントおよびファイルマネージャのいずれかから、以下のアカウント情報を収集します。

• FTP User Name
• FTP Password
• FTP Server Name
• Port Number

ワームは、以下のブラウザから、ユーザ名、パスワードやホスト名といった保存された情報を収集します。

• Chrome
• Chromium
• ChromePlus
• Bromium
• Nichrome
• Comodo
• RockMelt
• CoolNovo
• ChromePlus
• Yandex

その他

ワームは、以下のファイルを作成します。

• {removable drive}:\Shortcut to game.lnk - points to malware copy {removable drive}:\game.exe

またワームは、"WinPcap" をインストールします。これは、一般にも利用される正規のWindows用パケットキャプチャライブラリであり、ここでは、感染したコンピュータのネットワーク活動の監視に使用されます。この一連の活動は、以下の無害なファイルを作成しインストールすることにより可能となります

• %System%\packet.dll
• %System%\wpcap.dll
• %System%\drivers\npf.sys

ワームは、ネットワークのトラフィックを監視し、以下の文字列を利用するEメールやFTPアカウントから情報を取得します。

• @
• AUTH
• Authorization
• Basic
• ftp
• http
• CONNECT
• PASS
• PLAIN
• pop3
• pop3_smtp
• PUT
• smtp
• USER

またワームは、以下から情報を収集します。

• %Application Data%\Bitcoin\wallet.dat

ワームは、リモートホストと通信する場合、細工が施された以下のユーザーエージェントを利用します。

Mozilla/5.0 (Windows; U; Windows NT; rv:1.9.2.17) Gecko/20110420 Firefox/3.6.17

ワームは、SMTP接続を利用するスパムメッセージを送信します。

ワームは、他のマルウェアまたはグレイウェアまたはまたは不正リモートユーザによるスパムメール内のリンクからコンピュータに侵入します。

ワームが実行するコマンドは、以下のとおりです。

• スパムメールのためのメッセージ構造およびテンプレートのリクエスト
• スパムメールの送信
• 実行中プロセスの表示
• 任意のファイルのダウンロードおよび実行
• 自身の終了

上述のFTPクライアントおよびファイルマネージャのいずれかからワームが収集するアカウント情報は、以下のとおりです。

• FTPのユーザ名
• FTPのパスワード
• FTPのサーバ名
• ポート番号

ワームが作成する以下のファイルは、このワームのコピーである "＜リムーバブルドライブ＞:\game.exe" へと誘導します。

• ＜リムーバブルドライブ＞:\Shortcut to game.lnk