Ransom_TERMITE.THHBIAH

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

• %Windows%\Termite.exe

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

マルウェアは、以下のファイルを作成し実行します。

• %Desktop%\Payment.exe

(註：%Desktop%フォルダは、現在ログオンしているユーザのデスクトップです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Desktop" です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\Desktop" です。)

マルウェアは、以下のプロセスを追加します。

• takeown /f "%Windows%\SysNative\mswsock.dll"
• icacls "%Windows%\SysNative\mswsock.dll" /grant administrators:F
• takeown /f "%Windows%\SysWOW64\mswsock.dll"
• icacls "%Windows%\SysWOW64\mswsock.dll" /grant administrators:F

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• Termite
• Payment

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Termite.exe = %Windows%\Termite.exe

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Payment.exe = %Desktop%\Payment.exe

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
aaaaaa

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
aaaaaa\Shell

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
aaaaaa\Shell\Open

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
aaaaaa\Shell\Open\
Command

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
aaaaaa\DefaultIcon

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
.aaaaaa

マルウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft
Title = IOS hacker tissue

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft
Content = {Text}

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft
PassWord = {Random Text}

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft
Tail = aaaaaa

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft
savetime = {Date}

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
aaaaaa
(Default) =

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
aaaaaa
EditFlags = 2

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
aaaaaa\Shell\Open\
Command
(Default) = "%Desktop%\Payment.exe" "%1"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
aaaaaa\DefaultIcon
(Default) = %Desktop%\Payment.exe,0

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
.aaaaaa
(Default) = aaaaaa

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Explorer
GlobalAssocChangedCounter = {Random Numbers}