Trojan.Win64.HELPERDRIVER.A

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %User Temp%\pE6KNzQ.sys ← copy of {Malware Path}\pE6KNzQ.sys

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

プロセスの終了

マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• DbServer.exe
• CNTAoSMgr.exe
• iCRCService.exe
• LogServer.exe
• LWCSService.exe
• Ntrtscan.exe
• OfcDdaSvr.exe
• OfcService.exe
• PccNt.exe
• PccNTMon.exe
• tmwscsvc.exe
• SupportConnector.exe
• TmCCSF.exe
• tmssclient.exe
• TmListen.exe
• TmsaInstance64.exe
• SoftMon.exe
• IvAppMonSvc.exe
• svcGenericHost.exe
• TMBMSRV.exe
• dsa.exe
• ds_monitor.exe
• ds_nuagent.exe
• Notifier.exe
• PtSessionAgent.exe
• uiSeAgnt.exe
• uiWatchDog.exe
• coreFrameworkHost.exe
• AMSPTelemetryService.exe
• coreServiceShell.exe
• DrSDKCaller.exe
• PtSvcHost.exe
• PtWatchDog.exe
• mpcmdrun.exe
• msmpeng.exe
• NisSrv.exe
• MpCopyAccelerator.exe

その他

マルウェアは、以下を実行します。

• It creates and starts a service named "pE6KNzQ" with the following details:
  • Name: pE6KNzQ
  • Display Name: pE6KNzQ
  • Type: Driver
  • Start Type: System start
  • Binary Path: %User Temp%\pE6KNzQ.sys
• It checks if the service "pE6KNzQ" has been successfully executed:
  • If the service is running:
    • It terminates Trend Micro related applications that are found to be running in the affected system.
  • If execution failed:
  • It displays a message box saying "Failed to connect to kernel driver", then terminates itself.
    
    
• It requires the existence of the following file to be able to proceed to its malicious behavior:
  • {Malware Path}\pE6KNzQ.sys