PUA.Win32.GMER.A

プログラムは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

プログラムは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

プログラムは、以下のコンポーネントファイルを作成します。

• %User Temp%\{8 Random Characters}.sys

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

自動実行方法

プログラムは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\{8 Random Characters}

他のシステム変更

プログラムは、以下のファイルを削除します。

• %User Temp%\{8 Random Characters}.sys

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

プログラムは、インストールの過程で、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\{8 Random Characters}
Type = 1

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\{8 Random Characters}
ErrorControl = 1

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\{8 Random Characters}
Start = 3

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\{8 Random Characters}
ImagePath = \??\%User Temp%\{8 Random Characters}.sys

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\{8 Random Characters}
Group = Base

情報漏えい

プログラムは、以下の情報を収集します。

• List of Drives
• Computer Name
• Running Processes
• Process Modules
• Running Services
• Computer Files
• Disk Sectors
• System Registries
• Clipboard Data

その他

プログラムは、以下を実行します。

• It loads the dropped file as a driver
  • %User Temp%\{8 Random Characters}.sys
• It displays the following image
  
• It displays and can delete, copy, and kill files and folders
• It displays and can create and kill system processes
• It displays process modules
• It can edit, disable and delete services
• It displays and can edit system registry data
• It can export registry data and save it in a file
• It can execute shell commands
• It can restore SSDT tables
• It can restore the Master Boot Record (MBR)
• The tool scans for the following:
  • Hidden Processes
  • Hidden Threads
  • Hidden Modules
  • Hidden Services
  • Hidden Files
  • Hidden Disk Sectors (MBR)
  • Hidden Alternate Data Streams
  • Hidden Registry Keys
  • Drivers Hooking SSDT
  • Drivers Hooking IDT
  • Drivers Hooking IRP calls
  • Inline Hooks
• It displays process libraries and threads
• It can restart the machine
• This tool has been abused by other malware to terminate processes relating to security-related software via its -killfile option