Trojan.Win32.WUSUB.A

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ただし、情報公開日現在、このWebサイトにはアクセスできません。

マルウェア マルウェアは、自身（コンピュータに侵入して最初に自身のコピーを作成した マルウェア ）を削除します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %ProgramData%\TMPUSER.DAT - deleted afterwards.

(註：%ProgramData%フォルダは、マルチユーザーシステムにおいて任意のユーザがプログラムに変更を加えることができるプログラムファイルフォルダのバージョンです。これには、すべてのユーザのアプリケーションデータが含まれます。Windows Vista、7、8の場合、通常 "C:\ProgramData" です。)

マルウェアは、以下のフォルダを作成します。

• %ProgramData%\Microsofts Help

(註：%ProgramData%フォルダは、マルチユーザーシステムにおいて任意のユーザがプログラムに変更を加えることができるプログラムファイルフォルダのバージョンです。これには、すべてのユーザのアプリケーションデータが含まれます。Windows Vista、7、8の場合、通常 "C:\ProgramData" です。)

マルウェアは、感染コンピュータ上のメモリに以下のプロセスを確認すると、自身を終了します。

• QHSAFETRAY.EXE
• QHWATCHDOG.EXE
• CMDAGENT.EXE
• CIS.EXE
• V3LITE.EXE
• SPIDERAGENT.EXE
• DWENGINE.EXE
• DWARKDAEMON.EXE
• BULLGUARDTRAY.EXE
• BDAGENT.EXE
• BULLGUARD.EXE
• BDSS.EXE
• BULLGUARD.EXE
• V3MAIN.EXE
• V3SP.EXE
• EGUI.EXE
• EKRN.EXE

他のシステム変更

マルウェアは、以下のファイルを削除します。

• %ProgramData%\AMMYY\wmihost.exe
• %ProgramData%\AMMYY\settings3.bin
• %ProgramData%\Foundation\wmites.exe
• %ProgramData%\Foundation\settings3.bin
• %ProgramData%\Foundation1\wmites.exe
• %ProgramData%\Foundation1\settings3.bin
• %ProgramData%\Microsoft\wsus.exe
• %ProgramData%\Microsoft\settings3.bin
• %ProgramData%\Microsofts Help\wsus.exe
• %ProgramData%\Microsofts Help\settings3.bin

(註：%ProgramData%フォルダは、マルチユーザーシステムにおいて任意のユーザがプログラムに変更を加えることができるプログラムファイルフォルダのバージョンです。これには、すべてのユーザのアプリケーションデータが含まれます。Windows Vista、7、8の場合、通常 "C:\ProgramData" です。)

マルウェアは、以下のフォルダを削除します。

• %ProgramData%\Settings
• %ProgramData%\Microsoft\Enc
• %ProgramData%\AMMYY
• %ProgramData%\Foundation
• %ProgramData%\Foundation1

(註：%ProgramData%フォルダは、マルチユーザーシステムにおいて任意のユーザがプログラムに変更を加えることができるプログラムファイルフォルダのバージョンです。これには、すべてのユーザのアプリケーションデータが含まれます。Windows Vista、7、8の場合、通常 "C:\ProgramData" です。)

プロセスの終了

マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• wsus.exe

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスし、不正なファイルをダウンロードして実行します。

• http://{BLOCKED}.{BLOCKED}.209.169/dat1.omg

マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %ProgramData%\Microsofts Help\template_{hex string}.DATAHASH, which is decrypted and saved as %ProgramData%\Microsofts Help\wsus.exe

(註：%ProgramData%フォルダは、マルチユーザーシステムにおいて任意のユーザがプログラムに変更を加えることができるプログラムファイルフォルダのバージョンです。これには、すべてのユーザのアプリケーションデータが含まれます。Windows Vista、7、8の場合、通常 "C:\ProgramData" です。)

ただし、情報公開日現在、このWebサイトにはアクセスできません。

その他

マルウェア は、自身（コンピュータに侵入して最初に自身のコピーを作成した マルウェア ）を削除します。

＜補足＞
インストール

マルウェアは、以下のファイルを作成します。

• %ProgramData%\TMPUSER.DAT →後に削除される

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスし、不正なファイルをダウンロードして実行します。

• http://{BLOCKED}.{BLOCKED}.209.169/dat1.omg

マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %ProgramData%\Microsofts Help\template_{16進文字列}.DATAHASH →このファイルは復号され、%ProgramData%\Microsofts Help\wsus.exeとして保存される

その他

ファイル %ProgramData%\TMPUSER.DATには、実行されたコマンド "net user /domain"の出力が含まれています。
ファイルに文字列 "WORKGROUP"が含まれている場合、マルウェアは終了しています。

マルウェアは、以下のコマンドを実行して、「foundation」という名前のサービスを停止、削除します。

• net.exe stop foundation
• sc delete foundation

管理者権限で実行されている場合、以下のコマンドを実行して、ダウンロードしたファイルをサービスとして登録しシステムが起動するたびに自動実行されるようにします。

• sc create foundation binPath= "%ProgramData%\Microsofts Help\wsus.exe -service" type= own start= auto error= ignore
• net.exe start foundation y

ユーザ権限で実行されている場合、以下のレジストリエントリとスケジュールされたタスクを追加して、システムが起動するたびにダウンロードされたファイルが自動実行されるようにします。

• レジストリ：
  HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
  MicrosoftsSOftWare = %Program Data%\Microsofts Help\wsus.exe
• タスク名：Microsoft System Protect
  スケジュール：ユーザのログオン時
  実行するタスク：%Program Data%\Microsofts Help\wsus.exe