TROJ_DIDKR.C

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

マルウェアは、複数の韓国政府関連 Webサイトが登録されたプライマリDNSサーバおよびセカンダリDNSサーバを対象とした、分散型サービス拒否（DDoS）攻撃を実行するコンポーネントを作成します。

マルウェアは、感染コンピュータのオペレーティングシステム（OS）が32bitか64bitかによって決定される複数のコンポーネントを作成します。韓国政府関連Webサイトに属する既定のIPアドレスへのDDoS攻撃を実行する不正な実行ファイルを作成します。

マルウェアは、リモートサイトから他のマルウェア、グレイウェアまたはスパイウェアにダウンロードされ、コンピュータに侵入します。

マルウェアは、作成されたファイルを実行します。

侵入方法

マルウェアは、リモートサイトから他のマルウェア、グレイウェアまたはスパイウェアにダウンロードされ、コンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• 64-bit environment:
  • %User Temp%\~ER{number}.tmp (64-bit) - detected as HKTL_BYPASS
  • %User Temp%\~DR{number}.tmp (64-bit) - detected as TROJ64_DIDKR.C
• 32-bit environment:
  • %User Temp%\~DR{number}.tmp (32-bit) - detected as TROJ_DIDKR.C

(註：%User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{service name of variable 1}Svc\Parameters
ServiceDll = “%System%\ole{variable 1}.dll”

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{service name of variable 1}Svc\Parameters
ServiceMain = “RoutineMain”

マルウェアは、以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\SvcHost
netsvcs = “{default data}, {service name of variable 1}Svc”

(註：変更前の上記レジストリ値は、「{default data}」となります。)

作成活動

マルウェアは、作成されたファイルを実行します。

その他

マルウェアが作成するファイルは以下のとおりです。

• 64bit環境:
  • %User Temp%\~ER＜数字＞.tmp (64-bit) - 「HKTL_BYPASS」として検出
  • %User Temp%\~DR＜数字＞.tmp (64-bit) - 「TROJ64_DIDKR.C」として検出

• 32bit環境:
  • %User Temp%\~DR＜数字＞.tmp (32-bit) - 「TROJ_DIDKR.C」として検出

マルウェアは、以下のコマンドラインのパラメータを用いて、作成されたコンポーネントを64bitの環境で実行します。

• "%User Temp%\~ER＜数字＞.tmp" "%User Temp%\~DR＜数字＞.tmp"

作成されるコンポーネント "%User Temp%\~ER＜数字＞.tmp" は、ユーザーアカウント制御（UAC）のデフォルト設定において、ファイル "~DR＜数字＞.tmp" の管理者権限を昇格する機能を備えています。

コンポーネント "%User Temp%\~DR＜数字＞.tmp" 　は、以下のファイルを作成します。

• 64bit環境:
• %System%\ole＜変数1＞.dll (64bit) - 「TROJ64_DIDKR.C」として検出
• %User Temp%\~DL＜数字＞.tmp (64bit) - "ole＜変数1＞.dll" （64bit）のコピー
• 32bit環境:
• %System%\ole＜変数1＞.dll (32bit) - 「TROJ_DIDKR.C」として検出
• %User Temp%\~DL＜数字＞.tmp (32bit) - "ole＜変数1＞.dll" （32bit）のコピー

マルウェアは、以下の条件に合致するすべてのサービス名を列挙します。

• ImagePath = "%SystemRoot%\System32\svchost.exe -k netsvcs"

そして、マルウェアは、"ServiceDll" 内に登録されたファイル名から＜変数1＞を取得します。

例:

ImagePath = "%SystemRoot%\System32\svchost.exe -k netsvcs
ServiceDll = "%System%\shsvcs.dll"
＜変数1＞ = shsvcs

この例では、このようにしてファイル "ole＜変数1＞.DLL" が、"oleshsvcs.DLL" として作成されます。

コンポーネント "%System%\ole＜変数1＞.dll" は、以下のWebサイトのいずれかにアクセスし、データを受信します。

• http://webmail.＜省略＞shost.com/mail/images/ct.jpg
• http://www.＜省略＞pic.net/pictures/e02947e8573918c1d887e04e2e0b1570.jpg

マルウェアは、受信されたデータを "%User Temp%\~MR{number}.TMP" に保存します。

マルウェアは、文字列「BM6W」が存在する場合、"%User Temp%\~MR{number}.tmp" の内容を確認します。

情報公開日現在では、マルウェアは、現在の日付が6月25日午前10時と同一またはそれ以降であるかを確認します。比較される日付は受信されたデータ内に存在し、「BM6W」以降の4バイト分のデータです。

コンポーネント "%System%\ole＜変数1＞.DLL" は、上述の条件に合致する場合、以下のファイルを作成および実行します。

• %System%\wuauieop.exe - 「DDOS_DIDKR.C」として検出