BKDR_WINNTI.OWNB

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。 マルウェアは、他のマルウェアまたはグレイウェアのパッケージとともにコンポーネントとして、コンピュータに侵入します。

マルウェアは、ワーム活動の機能を備えていません。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、他のマルウェアまたはグレイウェアのパッケージとともにコンポーネントとして、コンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %System%\wmm2.dll
• %User Temp%\tmp{random}.tmp - is deleted when the system reboots

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.. %User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

マルウェアは、以下のファイルを作成します。

• %Temp%\deskcpl.tff - contains date/time information, process name and process id of the process that injects code into svchost.exe, process id of the injected svchost.exe, status of code injection (sucess or fail)

(註：%Temp%フォルダは、一時的にファイルが保存されるフォルダで、いずれのオペレーティングシステム(OS)でも通常、 "C:\Windows\Temp" です。.)

マルウェアは、以下のプロセスを追加します。

• %System%\sysprep\sysprep.exe

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• Global\3625989615E3806C118A76FAAC1AE93B
• Global\Notify_Event_{3ec05b4a-ea88-1378-3389-66706ba27600}
• Global\59C4D43D3C135DAA2C40390C1FD370F2-{process id}

マルウェアは、以下のプロセスにコードを組み込みます。

• explorer.exe
• services.exe
• the svchost.exe with "netsvcs" as parameter

自動実行方法

マルウェアは、以下のサービスを開始します。

• {service name}

マルウェアは、自身のDLLコンポーネントを用いて、以下のサービスを作成します。

• Service Name: {service name}
• Display Name: "Device Wmm Services"
• Binary Path Name: "%SystemRoot%\System32\svchost.exe -k netsvcs"

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{service name}

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{service name}\Parameters

マルウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{service name}
Description = "Monitoring of Hardwares And Automatically Updates The Device Drivers."

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{service name}\Parameters
ServiceDll = "%System%\wmm2.dll"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{service name}\Parameters
ServiceMain = "sqlite3_get_error"

マルウェアは、以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\IpFilterDriver
Start = "2"

(註：変更前の上記レジストリ値は、「"3"」となります。)

感染活動

マルウェアは、ワーム活動の機能を備えていません。

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• arbitrary commands

その他

マルウェアが自身の不正活動を実行するためには、以下のコンポーネントが必要になります。

• %System%\wmm2.dat -> also detected as BKDR_WINNTI.OWNB

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

マルウェアが作成する以下の自身のコピーは、コンピュータ再起動後に削除されます。

• %User Temp%\tmp{random}.tmp

マルウェアが作成する以下のファイルは、日時情報、プロセス名、svchost.exeにコードを組み込むプロセスのプロセスID、組み込まれたsvchost.exeのプロセスID、コード挿入の状況（成功か失敗か）が含まれています。

• %Temp%\deskcpl.tff

マルウェアが実行する不正リモートユーザからのコマンドは以下のとおりです。

• 任意のコマンド

マルウェアが自身の不正活動を実行するために必要な以下のコンポーネントは、「BKDR_WINNTI.OWNB」として検出されます。

• %System%\wmm2.dat

マルウェアは、以下を実行します。

• "IpFilterDriver"を開始する
• サービス"Device Wmm Services"がすでにインストールされているかを確認するためにすべてサービスおよびディスクリプションをリストする
• ファイル"%system%\winmm.update"および"%system%\wmm2.dat"、"%system%\wmm2.dll"を削除する
• "%system%\wmm2.dll"として自身のコピーを作成する
• "%system%\cmd.exe"のファイルタイムを"%system%\wmm2.dat"および"%system%\wmm2.dll"にコピーする
• "%System%\winmm.update"を読み込み、コンポーネント"%System%\wmm2.dat"のコピーの更新版を取得する
• OSにより、"%System%\sysprep\oleacc.dll"、"%System%\sysprep\cryptsp.dll"、"%System%\sysprep\cryptbase.dll"のいずれかを削除する
• SOFTWARE\Microsoft\Windows NT\CurrentVersion\Svchostの"netsvcs"キーの最初の値を読み込み、それを"{service name}"として利用する

コンポーネントファイルの内容は、上書きされています。

マルウェアは、ルートキット機能を備えていません。

マルウェアは、脆弱性を利用した感染活動を行いません。