TROJ_WATCHER.RCB

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、ダウンロードしたファイルを実行します。 ただし、情報公開日現在、このWebサイトにはアクセスできません。

マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Windows%\windefender.exe

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

マルウェアは、以下のフォルダを作成します。

• %Windows%\rss

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\WinDefender

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\WinDefender\Security

マルウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\WinDefender
Type = 16

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\WinDefender
Start = 2

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\WinDefender
ErrorControl = 1

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\WinDefender
ImagePath = %Windows%\windefender.exe

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\WinDefender
DisplayName = Windows Defender Helper Service (Windows 1703 Creators Update)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\WinDefender
ObjectName = LocalSystem

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\WinDefender\Security
Security = {hex values}

HKEY_CURRENT_USER\Software\Microsoft\
TestApp
ServiceVersion = 0.5

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスし、不正なファイルをダウンロードして実行します。

• http://{BLOCKED}ndmusic.com/app/app.exe

マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %Windows%\rss\csrss.exe

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

マルウェアは、ダウンロードしたファイルを実行します。

ただし、情報公開日現在、このWebサイトにはアクセスできません。

その他

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• {"Servers" string value in HKEY_CURRENT_USER\Software\Microsoft\TestApp}/bots/log

マルウェアが自身の活動を続行するには、以下のレジストリキーが必要です。

• HKEY_CURRENT_USER\Software\Microsoft\TestApp

マルウェアは、以下のコマンドを実行してマルウェアのセキュリティ記述子を変更します。

• sc sdset WinDefender D:(A;;CCLCSWRPWPDTLOCRRC;;;SY)(A;;CCDCLCSWRPLOCRSDRCWDWO;;;BA)(D;;WPDT;;;BA)(A;;CCLCSWLOCRRC;;;IU)(A;;CCLCSWLOCRRC;;;SU)S:(AU;FA;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;WD);