WORM_KWAMPIRS.A

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ワームは、ネットワーク共有フォルダを介して感染活動をします。その際、利用可能なネットワーク共有フォルダ内に自身のコピーを作成します。

侵入方法

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ワームは、以下のファイルを作成し実行します。

• %System%\{DLL Name}.dll
  where {DLL name} can be any of the following:
  • wmiamgmt
  • wmiassn
  • wmipadp
  • wmiadrv
  • wmipdpa
  • wmiadrv
  • wmiapsrv
  Executes using the following shell code:
  • rundll32.exe "%System%\{DLL name}.dll" MyDllMain 4 4 4

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

自動実行方法

ワームは、以下のサービスを追加し、実行します。

• Service Name: WmiApSrvEx
  Display Name: WMI Performance Adapter Extension
  Start Type: SERVICE_AUTO_START
  Binary Pathname: %System%\{malware name}.exe

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

他のシステム変更

ワームは、以下のファイルを削除します。

• Previous copies of Itself
• Previous dropped DLL components

感染活動

ワームは、ネットワーク共有フォルダを介して感染活動をします。その際、利用可能なネットワーク共有フォルダ内に自身のコピーを作成します。

ワームは、ネットワーク上から以下のネットワーク共有フォルダを検索し、そのフォルダ内に自身のコピーを作成します。

• {Network}\ADMIN$\Windows\system32\{file name}.exe
• {Network}\C$\WINDOWS\system32\{file name}.exe
• {Network}\D$WINDOWS\system32\{file name}.exe
• {Network}\E$WINDOWS\system32\{file name}.exe
  where {file name} can be any of the following:
  • wmiapsrve
  • wmipsrvce
  • wmiapsvrce
  • wmipsvrce
  • wmiapsvre
  • wmipsvre
  • wmiapvsre
  • wmipvsre
  • wmiaprvse
  • wmiprvse

プロセスの終了

ワームは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• Running Processes of Itself
• Its own DLL modules running under rundll32.exe

作成活動

ワームは、以下のファイルを作成します。

• %User Temp%\{random}.tmp <- temporary file for creating its drop files, deleted after
• %Windows%\inf\mtmndkb32.PNF
• %Windows%\inf\ie11.PNF
• %Windows%\inf\mkdiawb3.PNF
• %Windows%\inf\digirps.PNF

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.. %Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)