Trojan.Win64.PATCHED.A

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。 ただし、情報公開日現在、このWebサイトにはアクセスできません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %User Temp%\offscan.bat ← Creates and runs a scheduled task
• %Windows%\Trend Micro\Security Center\fcwolfui.dll ← Dropped copy

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

マルウェアは、以下のプロセスを追加します。

• cmd /c schtasks /create /f /ru SYSTEM /tn "Trend Micro\Security Center\OfficeScan Agent" /sc ONSTART /tr rundll32.exe "%Windows%\Trend Micro\Security Center\fcwolfui.dll",SHGetAgent
• cmd /c schtasks /Run /tn Trend Micro\Security Center\OfficeScan Agent
• del /f %User Temp%\offscan.bat

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.. %User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

マルウェアは、以下のフォルダを作成します。

• %Windows%\Trend Micro
• %Windows%\Trend Micro\Security Center
• %ProgramData%\Intel
• %ProgramData%\Intel\DAL

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.. %ProgramData%フォルダは、マルチユーザーシステムにおいて任意のユーザがプログラムに変更を加えることができるプログラムファイルフォルダのバージョンです。これには、すべてのユーザのアプリケーションデータが含まれます。Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData" です。Windows Server 2003(32-bit)、2000(32-bit)、XPの場合、通常 "C:\Documents and Settings\All Users" です。 )

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• Global\TM-a100

その他

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• http://css.{BLOCKED}ess.com

マルウェアは、以下を実行します。

• It checks if it is executed using rundll32.exe
  • If Yes, it proceeds to its payload (Connects to a URL/IP)
  • If No, it creates a scheduled task (Using offscan.bat)
  
  
• It attempts to rename itself to the following:
  • {Malware File Path}\{8 Random Characters}.tmp
    If renaming is successful, it will delete the file after system reboot

ただし、情報公開日現在、このWebサイトにはアクセスできません。

以下のスケジュールされたタスクを追加します：

• Task Name: OfficeScan Agent
  Trigger: At system startup
  Task to be Run: rundll32.exe "%Windows%\Trend Micro\Security Center\fcwolfui.dll",SHGetAgent

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)