WORM_MAILSPAM.XDP

トレンドマイクロは、このワームをNoteworthy（要注意）に分類しました。

このワームは、オンライン銀行の個人情報を窃取することで知られるマルウェア「DYRE」によってダウンロードされ、MicrosoftのOutlookでマルウェア「UPATRE」が添付されたEメールを作成する機能を備えています。

ワームは、リモートサイトから他のマルウェアまたはグレイウェアにダウンロードされ、コンピュータに侵入します。

ワームは、また、スパム活動の過程で、メッセージを作成します。

ワームは、実行後、自身を削除します。

侵入方法

ワームは、リモートサイトから以下のマルウェアまたはグレイウェアにダウンロードされ、コンピュータに侵入します。

• TSPY_DYRE.YYYP

インストール

ワームは、以下のファイルを作成し実行します。

• %User Temp%\{random file name}.bat

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

感染活動

ワームは、メールを作成し、自身のスパム活動に利用します。

バックドア活動

ワームは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• http://{BLOCKED}7.{BLOCKED}7.71.173:1025

ワームは、コマンド＆コントロール（C&C）サーバに以下の情報を通知します。

• Outlook version
• Outlook platform
• Windows version
• Outlook email signature

その他

ワームは、実行後、自身を削除します。

ワームは、コマンド＆コントロール（C&C）サーバに以下の情報を通知します。

• Outlookのバージョン
• Outlookのプラットフォーム
• Windowsのバージョン
• OutlookのEメールの署名

ワームは、コマンド＆コントロール（C&C）サーバ上で設定されているパラメータに基いてスパムメールを作成します。

以下のパラメータは、拡散するためにC&Cサーバ上のワームによって要求されます。

• type
• send_to_all
• additional_emails
• client_connection_id
• message_attach
• attach_type
• attach_name
• attach_data_base64
• email
• subject
• content
• id_string