TROJ_KWAMPIRS.SM

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ただし、情報公開日現在、このWebサイトにはアクセスできません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

• %System%\{file name}.exe <- modified copy
  where {file name} can be any of the following:
  • wmiapsrvce
  • wmipsrvce
  • wmiapsrvcep
  • wmiapsvrce
  • wmipsvrce
  • wmiapsvrcep
  • wmiapsvre
  • wmipsvre
  • wmiapsvrep
  • wmiapvsre
  • wmipvsre
  • wmiapvsrep
  • wmiaprvse
  • wmiprvse
  • wmiaprvsep
  Executes using the following shell code:
  • cmd.exe /c start /b "" %System%{file name}.exe dwPlatform=1 fPlatform=0

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

マルウェアは、以下のファイルを作成し実行します。

• %System%\{DLL Name}.dll <- responsible for C&C connection
  where {DLL name} can be any of the following:
  • wmiamgmt
  • wmiassn
  • wmipadp
  • wmiadrv
  • wmipdpa
  Executes using the following shell code:
  • rundll32.exe "%System%\{DLL name}.dll" ControlTrace -Embedding -k DcomLaunch

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

自動実行方法

マルウェアは、以下のサービスを追加し、実行します。

• Service Name: WmiApSrvEx
  Display Name: WMI Performance Adapter Extension
  Start Type: SERVICE_AUTO_START
  Binary Pathname: %System%\{malware name}.exe

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

他のシステム変更

マルウェアは、以下のファイルを削除します。

• Previous copies of Itself
• Previous dropped DLL components

プロセスの終了

マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• Running Processes of Itself
• Its own DLL modules running under rundll32.exe

作成活動

マルウェアは、以下のファイルを作成します。

• %User Temp%\{random}.tmp <- temporary file for creating its drop files, deleted after
• %Windows%\inf\mtmndkb32.PNF
• %Windows%\inf\digirps.PNF
• %Windows%\inf\ie11.PNF
• %Windows%\inf\mkdiawb3.PNF

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.. %Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

その他

ただし、情報公開日現在、このWebサイトにはアクセスできません。