WORM_STUXNET.A

ワームは、リムーバブルドライブを介してコンピュータに侵入します。

ワームは、ソフトウェアに存在する脆弱性を利用して、同じネットワーク上にある他のコンピュータへの感染活動をします。

ワームは、ファイル、プロセスまたはレジストリ値を隠ぺいします。

侵入方法

ワームは、リムーバブルドライブを介してコンピュータに侵入します。

インストール

ワームは、以下のコンポーネントファイルを作成します。

• %System%\drivers\mrxcls.sys - detected as RTKT_STUXNET.A
• %System%\drivers\mrxnet.sys - detected as RTKT_STUXNET.A
• %System%\wbem\mof\sysnullevnt.mof
• %Windows%\inf\oem6C.PNF
• %Windows%\inf\oem7A.PNF - encrypted DLL on .stub section
• %Windows%\inf\mdmcpq3.PNF - encrypted data where URL of server is stored
• %Windows%\inf\mdmeric3.PNF
• C:\\WINDOWS\Help\winmic.fts

(註：%System%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\System"、Windows NT および 2000 の場合、"C:\WinNT\System32"、Windows XP および Server 2003 の場合、"C:\Windows\System32" です。. %Windows%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows9x、Me、XP、Server 2003の場合、"C:\Window"、WindowsNT および 2000の場合、"C:\WINNT" です。)

感染活動

ワームは、すべてのリムーバブルドライブ内に以下として自身のコピーを作成します。

• {drive letter}:\\Copy of Shortcut to.lnk
• {drive letter}:\\~WTR4132.tmp
• {drive letter}:\\~WTR4141.tmp

ワームは、以下のソフトウェアに存在する脆弱性を利用して、ネットワーク上で感染活動をします。

• Microsoft Security Bulletin MS10-061

  This worm exploits this vulnerability in the Windows Shell by calling the StartDocPrinter procedure in order to impersonate the Printer Spooler service to create the file WINSTA.EXE on the Windows system folder of a target machine. It also sends a second file named sysnullevnt.mof and saves it as %System%\wbem\mof. It is automatically registered to the Windows Management Instrumentation then it executes WINSTA.EXE. The said .MOF file also registers an event that deletes its duplicate in the %System%\wbem\mof\good and WINSTA.EXE once the said executable is terminated.

• Microsoft Security Bulletin MS08-067

  By sending specially crafted RPC requests, this worm can send and execute a copy of itself into a vulnerable system.

(註：%System%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\System"、Windows NT および 2000 の場合、"C:\WinNT\System32"、Windows XP および Server 2003 の場合、"C:\Windows\System32" です。)

バックドア活動

ワームは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• www.{BLOCKED}ierfutbol.com
• www.{BLOCKED}futbol.com

ルートキット機能

ワームは、ファイル、プロセスまたはレジストリ値を隠ぺいします。

情報収集

ワームは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

• http://www.{BLOCKED}ierfutbol.com/index.php?data={data}
  
  (Note: {data} is an encrypted hex value that contains the IP address of the machine, computer name, and domain.)

その他

ワームは、以下のWebサイトにアクセスしてインターネット接続を確認します。

• www.windowsupdate.com
• www.msn.com