WORM_TATERF.FJK

ワームは、オンラインゲームに関連したユーザ名やパスワードなどの認証情報を窃取します。ワームは、特定の文字列を含むメモリ上のプロセス/サービスを監視することで、この不正活動を実行します。

ワームは、特定のプロセスやレジストリキーを監視することで、"Yahoo! Japan"の認証情報を窃取します。

ワームは、自身（コンピュータに侵入して最初に自身のコピーを作成したワーム）を削除します。

ワームは、リムーバブルドライブを介してコンピュータに侵入します。 ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。

ワームは、バックドア活動の機能を備えていません。

ただし、情報公開日現在、このWebサイトにはアクセスできません。

ワームは、特定のオンラインゲームで用いられるユーザ名およびパスワードなどの個人情報を収集します。収集された情報は、サイバー犯罪者に悪用される恐れがあります。

ワームは、実行後、自身を削除します。

侵入方法

ワームは、リムーバブルドライブを介してコンピュータに侵入します。

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ワームは、以下のコンポーネントファイルを作成します。

• %User Temp%\4tddfwq{number}.dll - also detected as WORM_TATERF.FJK

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

ワームは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %User Temp%\xvassdf.exe

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

ワームは、以下のプロセスを追加します。

• iexplore.exe

ワームは、以下のプロセスにコードを組み込みます。

• explorer.exe
• created iexplore.exe

自動実行方法

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
54dfsger = "%User Temp%\xvassdf.exe"

他のシステム変更

ワームは、以下のレジストリ値を変更します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
Hidden = "2"

(註：変更前の上記レジストリ値は、「1」となります。)

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
ShowSuperHidden = "0"

(註：変更前の上記レジストリ値は、「1」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced\Folder\Hidden\
SHOWALL
CheckedValue = "0"

(註：変更前の上記レジストリ値は、「1」となります。)

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
Explorer
NoDriveTypeAutoRun = "145"

(註：変更前の上記レジストリ値は、「"255"」となります。)

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
Explorer
NoDriveTypeAutoRun = "145"

(註：変更前の上記レジストリ値は、「"255"」となります。)

感染活動

ワームは、すべての物理ドライブおよびリムーバブルドライブ内に以下として自身のコピーを作成します。

• {drive letter}:\puia6h.exe

ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。

上記INFファイルには、以下の文字列が含まれています。

[AutoRun]
open=puia6h.exe
shell\open\Command=puia6h.exe

バックドア活動

ワームは、バックドア活動の機能を備えていません。

プロセスの終了

ワームは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• RavMon.exe

ダウンロード活動

ワームは、以下のWebサイトにアクセスし、ファイルをダウンロードします。

• http://www.{BLOCKED}d3.com/1rb/ar1.rar

ワームは、以下のファイル名でダウンロードしたファイルを保存します。

• %User Temp%\ar1.rar

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

ただし、情報公開日現在、このWebサイトにはアクセスできません。

情報漏えい

ワームは、特定のゲームで用いられるユーザ名およびパスワードなどの個人情報を収集します。

その他

ワームは、タイトルバーに以下の文字列を含むアプリケーションのウィンドウを閉じます。

• AVP.AlertDialog
• AVP.Product_Notification

ワームは、実行後、自身を削除します。

ワームは、セキュリティ対策製品に関連する以下のプロセスがメモリで実行中であるかどうかを確認します。

• ALUSCHEDULERSVC.EXE
• ASHDISP.EXE
• AVGNT.EXE
• AVGRSX.EXE
• AVP.EXE
• AYAGENT.AYE
• CCSVCHST.EXE
• EKRN.EXE
• LIVESRV.EXE
• UFSEAGNT.EXE
• VCRMON.EXE
• VSTSKMGR.EXE

実行中のプロセスが確認された場合、そのファイルが存在するフォルダを探します。そして確認されたセキュリティ対策製品のプロセスに基づいて、以下のいずれかのコンポーネントファイルを検索します。

• avast.setup
• avgupd.exe
• AYUpdate.aye
• eguiEpfw.dll
• eguiEmon.dll
• ekrnEpfw.dll
• ekrnEmon.dll
• luall.exe
• mcupdate.exe
• preupd.exe
• prupdate.ppl
• setup.ovr
• SfFnUp.exe
• UfUpdUi.exe
• Update.exe
• updater.dll
• vsupdate.dll

ワームは、上述のフォルダ内から以下の拡張子を持つファイルを検索します。

• .DLL
• .EXE

そして、ワームは、”%System Root%”で確認されたファイルを移動して、以下の名称のファイル名に改称します。

• {ファイル名}.{拡張子}.vcd

またワームは、オンラインゲームに関連したユーザ名やパスワードなどの認証情報を窃取します。ワームは、以下の文字列を含むメモリ上のプロセス/サービスを監視することで、この不正活動を実行します。

• Altair(Non-PvP)
• Arcturus
• Canopus
• coc.exe
• Forthgoer
• pol.exe
• Ragexe.exe
• Rigel
• Sirius
• Vega(Non-PvP)

感染コンピュータ上に以下のファイルが存在する場合、ワームはそのファイルから情報を窃取します。

• aaa.dat

ワームは、以下のURLやレジストリキーを監視することで、"Yahoo! Japan"の認証情報を窃取します。

• https://{BLOCKED}n.{BLOCKED}o.co.jp/config/login_verify2?.src=ym
• https://{BLOCKED}n.{BLOCKED}o.co.jp/config/login?
• YahooWidgetEngine.exe
• YPagerj.exe
• \Software\YahooJapan

ワームは、ルートキット機能を備えていません。

ワームは、脆弱性を利用した感染活動を行いません。

<補足>
インストール

ワームが作成する以下のコンポーネントファイルは、「WORM_TATERF.FJK」として検出されます。

• %User Temp%\4tddfwq{数字}.dll

感染活動

ワームは、すべての物理ドライブおよびリムーバブルドライブ内に以下として自身のコピーを作成します。

• {ドライブレター}:\puia6h.exe