Worm.Win32.BRONTOK.CC

2025年2月6日

解析者: John Rainier Navato

別名:

Worm:Win32/Brontok@mm (MICROSOFT)

プラットフォーム:

Windows

危険度:

ダメージ度:

感染力:

感染確認数:

情報漏えい:

マルウェアタイプ: ワーム
破壊活動の有無: なし
暗号化:
感染報告の有無: はい

概要

感染経路インターネットからのダウンロード, 他のマルウェアからの作成

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

詳細

ファイルサイズ 43,403 bytes

メモリ常駐はい

発見日 2025年2月5日

ペイロード URLまたはIPアドレスに接続, ファイルの作成, システムのレジストリの変更

侵入方法

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ワームは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

%AppDataLocal%\csrss.exe
%AppDataLocal%\inetinfo.exe
%AppDataLocal%\lsass.exe
%AppDataLocal%\services.exe
%AppDataLocal%\smss.exe
%AppDataLocal%\winlogon.exe

(註：%AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)

ワームは、感染したコンピュータ内に以下のように自身のコピーを作成します。

%Application data%\Microsoft\Windows\Start Menu\Programs\Startup\Empty.pif
%Application data%\Microsoft\Windows\Templates\Brengkolang.com
%System%\drivers\etc\hosts-Denied By-Administrator.com
%Windows%\KesenjanganSosial.exe
%Windows%\ShellNew\RakyatKelaparan.exe
%Windows%\SysWOW64\Administrator's Setting.scr
%Windows%\SysWOW64\cmd-brontok.exe

ワームは、以下のプロセスを追加します。

%AppDataLocal%\inetinfo.exe
%AppDataLocal%\lsass.exe
%AppDataLocal%\services.exe
%AppDataLocal%\winlogon.exe
%AppDataLocal%\smss.exe
%Windows%\SysWOW64\at.exe at 17:08 /every:M,T,W,Th,F,S,Su "%Application data%\Microsoft\Windows\Templates\Brengkolang.com"

自動実行方法

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
Tok-Cirrhatus =

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
Tok-Cirrhatus-3444 = %AppDataLocal%\smss.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
Microsoft\Windows\CurrentVersion\
Run
Bron-Spizaetus = %Windows%\ShellNew\RakyatKelaparan.exe

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
Microsoft\Windows NT\CurrentVersion\
Winlogon
Shell = Explorer.exe "%Windows%\KesenjanganSosial.exe"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Control\SafeBoot
AlternateShell = cmd-brontok.exe

ワームは、＜Common Startup＞フォルダ内に以下のように自身のコピーを作成します。これにより、Windows起動時に自身のコピーの自動実行が可能となります。

%Application data%\Microsoft\Windows\Start Menu\Programs\Startup\Empty.pif

他のシステム変更

ワームは、以下のレジストリ値を変更します。

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
Hidden = 0

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
ShowSuperHidden = 0

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
HideFileExt = 1

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System
DisableRegistryTools = 1

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System
NoFolderOptions = 1

その他

ワームは、以下の不正なWebサイトにアクセスします。

http://www.{BLOCKED}ies.com/sbllma5/Host15.txt
http://www.{BLOCKED}ies.com/sbllma5/IN15VLMLWHOX.txt
http://www.{BLOCKED}o.com

ワームは、以下を実行します。

It uses the at command to add a scheduled task that executes the copies it drops.
The scheduled task executes the malware every 5:08 PM every day