Trend Micro Security

TROJ_DIDKR.C

2013年6月28日
 解析者: Rhena Inocencio   
 プラットフォーム:

Windows 2000, Windows Server 2003, Windows XP (32-bit, 64-bit), Windows Vista (32-bit, 64-bit), Windows 7 (32-bit, 64-bit)

 危険度:
 ダメージ度:
 感染力:
 感染確認数:
 情報漏えい:


  • マルウェアタイプ: トロイの木馬型
  • 破壊活動の有無: なし
  • 暗号化: はい
  • 感染報告の有無: はい

  概要

感染経路 インターネットからのダウンロード

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

マルウェアは、複数の韓国政府関連 Webサイトが登録されたプライマリDNSサーバおよびセカンダリDNSサーバを対象とした、分散型サービス拒否（DDoS）攻撃を実行するコンポーネントを作成します。

マルウェアは、感染コンピュータのオペレーティングシステム（OS）が32bitか64bitかによって決定される複数のコンポーネントを作成します。韓国政府関連Webサイトに属する既定のIPアドレスへのDDoS攻撃を実行する不正な実行ファイルを作成します。

マルウェアは、リモートサイトから他のマルウェア、グレイウェアまたはスパイウェアにダウンロードされ、コンピュータに侵入します。

マルウェアは、作成されたファイルを実行します。

  詳細

ファイルサイズ 不定
タイプ EXE, DLL
メモリ常駐 はい
発見日 2013年6月26日
ペイロード URLまたはIPアドレスに接続, ファイルの作成

侵入方法

マルウェアは、リモートサイトから他のマルウェア、グレイウェアまたはスパイウェアにダウンロードされ、コンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

  • 64-bit environment:
    • %User Temp%\~ER{number}.tmp (64-bit) - detected as HKTL_BYPASS
    • %User Temp%\~DR{number}.tmp (64-bit) - detected as TROJ64_DIDKR.C
  • 32-bit environment:
    • %User Temp%\~DR{number}.tmp (32-bit) - detected as TROJ_DIDKR.C

(註：%User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{service name of variable 1}Svc\Parameters
ServiceDll = “%System%\ole{variable 1}.dll”

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{service name of variable 1}Svc\Parameters
ServiceMain = “RoutineMain”

マルウェアは、以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\SvcHost
netsvcs = “{default data}, {service name of variable 1}Svc”

(註：変更前の上記レジストリ値は、「{default data}」となります。)

作成活動

マルウェアは、作成されたファイルを実行します。

その他

マルウェアが作成するファイルは以下のとおりです。

  • 64bit環境:
    • %User Temp%\~ER＜数字＞.tmp (64-bit) - 「HKTL_BYPASS」として検出
    • %User Temp%\~DR＜数字＞.tmp (64-bit) - 「TROJ64_DIDKR.C」として検出
  • 32bit環境:
    • %User Temp%\~DR＜数字＞.tmp (32-bit) - 「TROJ_DIDKR.C」として検出

マルウェアは、以下のコマンドラインのパラメータを用いて、作成されたコンポーネントを64bitの環境で実行します。

  • "%User Temp%\~ER＜数字＞.tmp" "%User Temp%\~DR＜数字＞.tmp"

作成されるコンポーネント "%User Temp%\~ER＜数字＞.tmp" は、ユーザーアカウント制御（UAC）のデフォルト設定において、ファイル "~DR＜数字＞.tmp" の管理者権限を昇格する機能を備えています。

コンポーネント "%User Temp%\~DR＜数字＞.tmp" 　は、以下のファイルを作成します。

  • 64bit環境:
    • %System%\ole＜変数1＞.dll (64bit) - 「TROJ64_DIDKR.C」として検出
    • %User Temp%\~DL＜数字＞.tmp (64bit) - "ole＜変数1＞.dll" （64bit）のコピー
  • 32bit環境:
    • %System%\ole＜変数1＞.dll (32bit) - 「TROJ_DIDKR.C」として検出
    • %User Temp%\~DL＜数字＞.tmp (32bit) - "ole＜変数1＞.dll" （32bit）のコピー

マルウェアは、以下の条件に合致するすべてのサービス名を列挙します。

  • ImagePath = "%SystemRoot%\System32\svchost.exe -k netsvcs"

そして、マルウェアは、"ServiceDll" 内に登録されたファイル名から＜変数1＞を取得します。

例:

ImagePath = "%SystemRoot%\System32\svchost.exe -k netsvcs
ServiceDll = "%System%\shsvcs.dll"
＜変数1＞ = shsvcs

この例では、このようにしてファイル "ole＜変数1＞.DLL" が、"oleshsvcs.DLL" として作成されます。

コンポーネント "%System%\ole＜変数1＞.dll" は、以下のWebサイトのいずれかにアクセスし、データを受信します。

  • http://webmail.＜省略＞shost.com/mail/images/ct.jpg
  • http://www.＜省略＞pic.net/pictures/e02947e8573918c1d887e04e2e0b1570.jpg

マルウェアは、受信されたデータを "%User Temp%\~MR{number}.TMP" に保存します。

マルウェアは、文字列「BM6W」が存在する場合、"%User Temp%\~MR{number}.tmp" の内容を確認します。

情報公開日現在では、マルウェアは、現在の日付が6月25日午前10時と同一またはそれ以降であるかを確認します。比較される日付は受信されたデータ内に存在し、「BM6W」以降の4バイト分のデータです。

コンポーネント "%System%\ole＜変数1＞.DLL" は、上述の条件に合致する場合、以下のファイルを作成および実行します。

  • %System%\wuauieop.exe - 「DDOS_DIDKR.C」として検出

  対応方法

対応検索エンジン: 9.300
初回 VSAPI パターンバージョン 10.122.03
初回 VSAPI パターンリリース日 2013年6月28日
VSAPI OPR パターンバージョン 10.123.00
VSAPI OPR パターンリリース日 2013年6月28日

手順 1

Windows XP、Windows Vista および Windows 7 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

手順 2

「TROJ_DIDKR.C」 が作成またはダウンロードした不正なファイルを削除します。

手順 3

スタートアップディスク、または、回復コンソールを用いて、「TROJ_DIDKR.C」として検出されたファイルを確認し削除します。

[ 詳細 ]

手順 4

このレジストリ値を削除します。

[ 詳細 ]

警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。

  • In HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\{service name of variable 1}Svc\Parameters
    • ServiceDll = “%System%\ole{variable 1}.dll”
  • In HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\{service name of variable 1}Svc\Parameters
    • ServiceMain = “RoutineMain”

手順 5

変更されたレジストリ値を修正します。

[ 詳細 ]

警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。

  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SvcHost
    • From: netsvcs = “{default data}, {service name of variable 1}Svc”
      To: netsvcs = "{default data}"

手順 6

以下のファイルを検索し削除します。

[ 詳細 ]

コンポーネントファイルが隠しファイル属性に設定されている場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。
  • %User Temp%\~MR{number}.tmp

手順 7

最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「TROJ_DIDKR.C」と検出したファイルはすべて削除してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。


ご利用はいかがでしたか？　アンケートにご協力ください