WORM_WCRY.H

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

ワームは、ネットワーク共有フォルダを経由してコンピュータに侵入します。

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ワームは、以下のファイルを作成し実行します。

• %Windows%\lsasvs.exe <- detected as TROJ_WCRY.H, installs and executes the Tor client (lsass.bin) and encryptor module (taskhcst.exe)

自動実行方法

ワームは、以下のサービスを追加し、実行します。

• ServiceName: shcservice
  DisplayName: Windows SHC Service.
  ImagePath: cmd.exe /c “net share C$=C:\”. <- This makes the C drive of the remote machine shared
• ServiceName: WUpdator
  DisplayName: Windows Updator
  ImagePath: C:\Windows\svchost.exe -> This will execute its copy in the remote machine

感染活動

ワームは、以下のファイル名を用いて、ネットワーク共有フォルダ内に自身のコピーを作成します。

• %Windows%\svchost.exe

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

ワームは、以下のユーザ名およびパスワードを用いて、パスワード保護された共有フォルダにアクセスします。

• administrador
• admin
• Administrator
• abcd
• cowboy
• sparky
• asdfgh
• secret
• bigdog
• yellow
• diamond
• richard
• patrick
• chelsea
• martin
• cheese
• golfer
• matthew
• merlin
• austin
• fucker
• taylor
• corvette
• summer
• hammer
• heather
• ginger
• nicole
• thunder
• sexy
• computer
• freedom
• biteme
• orange
• amanda
• hello
• ashley
• yankees
• dallas
• william
• silver
• maggie
• joshua
• access
• daniel
• pepper
• asshole
• jessica
• sunshine
• love
• michelle
• andrew
• charlie
• george
• hockey
• killer
• batman
• fuck
• soccer
• robert
• tigger
• thomas
• buster
• ranger
• trustno1
• fuckyou
• hunter
• fuckme
• harley
• jordan
• jennifer
• shadow
• michael
• mustang
• welkome
• bumble
• pussy
• monkey
• root
• angel
• solo
• asdfg
• asdf
• qwer
• starwars
• qwertyuiop
• princess
• baseball
• football
• letmein
• superman
• login
• test
• pass
• passwd
• master
• dragon
• abc123
• server
• 1qaz2wsx
• welcome
• qwerty
• passw0rd
• password
• p@ssw0rd
• !@#$%^&*()
• !@#$%^&*(
• !@#$%^&*
• !@#$%^&
• !@#$%^
• !@#$%
• !@#$
• abcd1234
• 123456!
• 12345!
• 1234!@#$
• 1q2w3e4r!
• 1q2w3e4!
• 1q2w3e!
• 1q2w3e4r
• 1q2w3e4
• 1q2w3e
• 121212
• 666666
• 6969
• 696969
• 123123
• 654321
• 4321
• 54321
• 1111
• 111111
• 1234567890
• 1234567
• 1234
• 123456789
• 12345
• 12345678
• 123456

作成活動

ワームは、以下のファイルを作成します。

• %Windows%\lsass.bin <- contains the Tor Client and its components
• %Windows%\fff <- dropped as system file with 0 bytes
• %Windows%\taskhcst.exe <- main encryptor module, detected as Ransom_WCRY.H

ワームは、「TROJ_WCRY.H」として検出される以下のファイルを作成します。このファイルは、匿名通信システム「Tor」のクライアントである "lsass.bin" ファイルと、暗号化モジュール "taskhcst.exe" をインストールして実行します。

• %Windows%\lsasvs.exe

ワームは、以下のサービスを追加し、実行します。

• ServiceName: shcservice
  DisplayName: Windows SHC Service.
  ImagePath: cmd.exe /c “net share C$=C:\”. 
  ※これにより遠隔のコンピュータのCドライブを共有ドライブにします。
• ServiceName: WUpdator
  DisplayName: Windows Updator
  ImagePath: C:\Windows\svchost.exe
  ※これにより遠隔のコンピュータに作成した自身のコピーを実行します。

ワームは、以下のファイルを作成します。

• %Windows%\lsass.bin 
  ※「Tor」のクライアントおよびそのコンポーネントが含まれる
• %Windows%\fff
  ※0バイトのシステムファイルとして作成される
• %Windows%\taskhcst.exe
  ※メインとなる暗号化モジュール。「Ransom_WCRY.H」として検出される

ワームは、以下を実行します。

• ワームは、開放されているポート445を検索するために以下を実行します。
  • ランダムに生成したIPアドレスによりインターネット上およびローカルエリアネットワーク（LAN）をスキャンする
• ワームは、LANあるいはインターネット上に開いているポート445を持つコンピュータを見つけると、パスワードリスト攻撃によりIPC＄共有ネットワークへアクセスを試みます。接続に成功すると、コンピュータのCドライブを共有するためのサービスを作成し、自身のコピーを作成し実行します。