Worm.Win32.WCRY.AGW

ワームは、作成されたファイルを実行します。

侵入方法

ワームは、以下の方法でコンピュータに侵入します。

• Microsoft Windows SMB Server (MS17-010) Vulnerability

自動実行方法

ワームは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\mssecsvc2.0
Type = "16"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\mssecsvc2.0
Start = "2"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\mssecsvc2.0
ErrorControl = "1"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\mssecsvc2.0
ImagePath = "{initial malware file path} -m security"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\mssecsvc2.0
DisplayName = "Microsoft Security Center (2.0) Service"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\mssecsvc2.0
ObjectName = "LocalSystem"

ワームは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\mssecsvc2.0

ワームは、以下のサービスを開始します。

• Service Name: mssecsvc2.0
  Display Name: Microsoft Security Center (2.0) Service
  Path to Executable: "{initial malware file path} -m security"

作成活動

ワームは、以下のファイルを作成します。

• %Windows%\tasksche.exe ← detected as Ransom.Win32.WCRY.DAM

ワームは、作成されたファイルを実行します。

その他

ワームは、以下を実行します。

• It connects to http://www.{BLOCKED}sodp9ifjaposdfjhgosurijfaewrwergwea.com. It is initially used as a kill switch for infection, however on this variant, it will still continue with its routine regardless of the connection.
• It scans the following to check for open port 445:
  • Randomly-generated IP addresses over the Internet
• If it finds a host on the Internet with open port 445, it will attempt to exploit MS17-010 vulnerability to drop and execute a copy of itself to the remote host.
• It uses the following file path for its dropped copies on the remote hosts.
  %Windows%\mssecsvc.exe
• It checks for the presence of the file %Windows%\tasksche.exe. If the file exists, it will rename the file using the following name %Windows%\qeriuwjhrf.
• It executes %Windows%\tasksche.exe with /i parameter.

<補足>
侵入方法

ワームは、以下の方法でコンピュータに侵入します。

• Microsoft Windows SMBサーバの脆弱性(MS17-010)

自動実行方法

ワームは、以下のサービスを開始します。

• サービス名: mssecsvc2.0
  表示名: Microsoft Security Center (2.0) Service
  実行コマンド: "{初期のマルウェアファイルパス} -m security"

作成活動

ワームは、以下のファイルを作成します。

• %Windows%\tasksche.exe ← Ransom.Win32.WCRY.DAMとして検出

ワームは、作成されたファイルを実行します。

その他

ワームは、以下を実行します。

• 下記URLに接続します。 当初、この通信は感染のキルスイッチに使用されていましたが、本亜種では、通信結果に関わらず処理を継続します。
  • http://www.{BLOCKED}sodp9ifjaposdfjhgosurijfaewrwergwea.com.
• 下記を対象としてポート番号445を開いているホストを検索します。
  • ランダムに生成したインターネットのIPアドレス
• インターネット上でポート番号445を開いているホストを発見した場合、脆弱性「MS17-010」を突いて、自身のコピーを当該ホストに作成、実行しようとします。
• リモートホストの下記ファイルパスに自身のコピーを作成します。
  %Windows%\mssecsvc.exe
• 「%Windows%\tasksche.exe」のファイルが存在するかチェックします。存在する場合、当該ファイルを「%Windows%\qeriuwjhrf」に改称します。
• 「%Windows%\tasksche.exe」を起動パラメータ「/i」で実行します。