Worm.Win32.BRONTOK.D

2020年1月30日

解析者: Patrick Noel Collado

別名:

Worm:Win32/Ludbaruma.A [non_writable_container](Microsoft); HEUR:Trojan.Win32.Generic (Kaspersky)

プラットフォーム:

Windows

危険度:

ダメージ度:

感染力:

感染確認数:

情報漏えい:

マルウェアタイプ:
ワーム
破壊活動の有無:
なし
暗号化:
感染報告の有無 :
はい

概要

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ワームは、「Registry Shell Spawning」という手法で特定のレジストリキーまたはレジストリ値を変更します。これにより、他のアプリケーションが実行されると、このワームも自動実行されます。

ワームは、特定のレジストリ値を変更し、セキュリティセンター機能を無効にします。これにより、ワームは自身を検出されることなく不正活動を実行することが可能になります。ワームは、タスクマネージャやレジストリエディタ、フォルダオプションを無効にします。

詳細

ファイルサイズ 66,809 bytes

タイプ EXE

発見日 2019年8月12日

侵入方法

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ワームは、以下のファイルを作成し実行します。

%Windows%\nEwb0Rn.exe
%System32%\WishfulThinking.exe
%AppDataLocal%\WINDOWS\WINLOGON.EXE
%AppDataLocal%\WINDOWS\SERVICES.EXE

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.. %AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)

ワームは、感染したコンピュータ内に以下のように自身のコピーを作成します。

%AppDataLocal%\winlogon.exe

(註：%AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)

ワームは、以下のフォルダを作成します。

%AppDataLocal%\WINDOWS
%Drive Letter%\nEwb0Rn

自動実行方法

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKCU\Software\Microsoft\
Windows\CurrentVersion\Run
nEwb0Rn = %Windows%\nEwb0Rn.exe

HKLM\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
n3wb012n{Computer Name} = %AppDataLocal%\WINDOWS\WINLOGON.EXE

HKLM\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
n210bw3n = %AppDataLocal%\WINDOWS\SERVICES.EXE

HKLM\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
Shell = Explorer.exe "%System32%\WishfulThinking.exe"

(註：変更前の上記レジストリ値は、「Explorer.exe」となります。)

HKLM\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
Userinit = %System32%\userinit.exe,%System32%\WishfulThinking.exe

(註：変更前の上記レジストリ値は、「%System32%\userinit.exe」となります。)

ワームは、「Registry Shell Spawning」という手法で以下のレジストリキーまたはレジストリ値を変更します。これにより、特定のファイル形式のファイルが開かれると、このワームも自動実行されます。

HKLM\SOFTWARE\Classes\
exefile\shell\open\
command
(Default) = "%System32%\JawsOfLife.exe" "%1" %*