• Email
• Facebook
• Twitter
• Google+
• Linkedin

Worm.MSIL.XWORM.YXEBVZ

---

• マルウェアタイプ: ワーム
• 破壊活動の有無: なし
• 暗号化: なし
• 感染報告の有無: はい

---

  概要

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ワームは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。 ワームは、特定のWebサイトにアクセスし、情報を送受信します。

ワームは、ユーザのキー入力操作情報を記録し、情報を収集します。

---

  詳細

侵入方法

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ワームは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Application Data%\msedge.exe → with HIDDEN and SYSTEM attributes

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

ワームは、以下のプロセスを追加します。

• powershell.exe -ExecutionPolicy Bypass Add-MpPreference -ExclusionPath '{Malware Path}\{Malware Filename}'
• powershell.exe -ExecutionPolicy Bypass Add-MpPreference -ExclusionProcess '{Malware Filename}'
• powershell.exe -ExecutionPolicy Bypass Add-MpPreference -ExclusionPath '%Application Data%\msedge.exe'
• powershell.exe -ExecutionPolicy Bypass Add-MpPreference -ExclusionProcess 'msedge.exe'

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

ワームは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• oXwnhd5ZIRDDutbH

自動実行方法

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
msedge = %Application Data%\msedge.exe

他のシステム変更

ワームは、インストールの過程で以下のレジストリキーまたはレジストリ値を変更します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
ShowSuperHidden = 0

(註：変更前の上記レジストリ値は、「1」となります。)

感染活動

ワームは、すべてのリムーバブルドライブ内に以下として自身のコピーを作成します。

• {Drive Letter}:\DriverInstaller.exe

バックドア活動

ワームは、不正リモートユーザからの以下のコマンドを実行します。

• pong - Sends a "pong" string to the C2
• rec - Restarts the application
• CLOSE - Closes the application
• uninstall - Executes the uninstall commands
• update - Executes the uninstall commands and the updated binary
• DW - Executes a powershell script
• FM - Executes a command from the C2 in memory
• LN - Downloads a file from a URL and execute it.
• Urlopen - Opens a URL through a browser
• Urlhide - Creates a HTTP GET request
• PCShutdown - Executes a shutdown command
• PCRestart - Executes a restart command
• PCLogoff - Executes a logoff command
• RunShell - Executes a command
• StartDDos - Initiates DDoS activities
• StopDDos - Terminates DDoS activities
• StartReport - Sends a list of running processes
• StopReport - Terminates sending of running proccesses list
• Xchat - Sends a "Xchat" string and the ID generated using system information
• Hosts - Sends the drivers\etc\host file contents
• Shosts - Modifies the contents of a file
• DDos - Sends a "DDos" string to the C2
• ngrok - Sends an "ngrok" string and the ID generated using system information
• plugin - Decompresses and executes a plugin
• savePlugin - Saves the decoded plugin to a registry then decompresses and executes it
• RemovePlugins - Deletes the registry with plugin data
• OfflineGet - Sends the contents of the keylogger file
• $cap - Sends a screen capture

ワームは、以下のWebサイトにアクセスし、情報を送受信します。

• using TCP:
  • {BLOCKED}dns.org:1111

ワームは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• using TCP:
  • {BLOCKED}dns.org:1111

作成活動

ワームは、以下のファイルを作成します。このファイルは、キー入力操作情報を収集するために利用されます。

• %User Temp%\Log.tmp

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

情報漏えい

ワームは、以下の情報を収集します。

• Username
• OS version and architecture
• Malware Variant ID
• File Creation date
• If executed from a removable drive
• If executed with admin rights
• Webcam availability
• CPU Information
• GPU Information
• RAM Information
• Antivirus Product name

ワームは、ユーザのキー入力操作情報を記録し、情報を収集します。

その他

ワームは、以下を実行します。

• It sets the attributes of files found in the Removable Drives to HIDDEN and SYSTEM
• It creates a shortcut for each of the file found in the removable drive, with the following details:
  • Shortcut filename: {Original Filename and Extension}.LNK
  • Target Path: cmd.exe /c start DriverInstaller.exe&start {Original Filename & extension} & exit

<補足>
インストール

ワームは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Application Data%\msedge.exe → 隠しファイル属性およびシステムファイル属性が設定されている

バックドア活動

ワームは、不正リモートユーザからの以下のコマンドを実行します。

• pong - C&Cサーバに文字列「pong」を送信する
• rec - アプリケーションを再起動する
• CLOSE - アプリケーションを閉じる
• uninstall - アンインストールコマンドを実行する
• update - アンインストールコマンドおよび更新されたバイナリを実行する
• DW - PowerShellスクリプトを実行する
• FM - C&Cサーバからのコマンドをメモリ内で実行する
• LN - URLからファイルをダウンロードして実行する
• Urlopen - ブラウザを介してURLを開く
• Urlhide - HTTP GETリクエストを作成する
• PCShutdown - シャットダウンコマンドを実行する
• PCRestart - 再起動コマンドを実行する
• PCLogoff - ログオフコマンドを実行する
• RunShell - コマンドを実行する
• StartDDos - 分散型サービス拒否（Distributed Denial of Service、DDoS）攻撃を実行する
• StopDDos - DDoS攻撃を終了する
• StartReport - 実行中のプロセスの一覧を送信する
• StopReport - 実行中のプロセスの一覧の送信を終了する
• Xchat - システム情報を使用して生成されたIDおよび文字列「Xchat」を送信する
• Hosts - drivers\etc\hostファイルのコンテンツを送信する
• Shosts - ファイルのコンテンツを変更する
• DDos - C&Cサーバに文字列「DDos」を送信する
• ngrok - システム情報を使用して生成されたIDおよび文字列「ngrok」を送信する
• plugin - プラグインを展開して実行する
• savePlugin - デコードされたプラグインをレジストリに保存し、展開して実行する
• RemovePlugins - プラグインデータを含むレジストリを削除する
• OfflineGet - キー入力操作情報に関するファイルのコンテンツを送信する
• $cap - スクリーンキャプチャを送信する

ワームは、以下のWebサイトにアクセスし、情報を送受信します。

• TCPを使用して：
  • {BLOCKED}dns.org:1111

ワームは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• TCPを使用して：
  • {BLOCKED}dns.org:1111

情報漏えい

ワームは、以下の情報を収集します。

• ユーザ名
• オペレーティングシステム（OS）のバージョンおよびアーキテクチャ
• マルウェアの亜種に関するID
• ファイル作成日
• リムーバブルドライブから実行されたかどうか
• 管理者権限で実行されたかどうか
• Webカメラの可用性
• CPU情報
• GPU情報
• RAM情報
• ウイルス対策製品名

その他

ワームは、以下を実行します。

• リムーバブルドライブ内で確認されたファイルの属性を隠しファイル属性およびシステムファイル属性に設定します。
• リムーバブルドライブ内で確認された各ファイルのショートカットを以下の詳細を用いて作成します。
  • ショートカットファイル名：{元のファイル名および拡張子}.LNK
  • 対象のパスcmd.exe /c start DriverInstaller.exe&start {元のファイル名および拡張子} & exit

---

  対応方法

ご利用はいかがでしたか？　アンケートにご協力ください