• Email
• Facebook
• Twitter
• Google+
• Linkedin

Worm.Win32.HILGILD.B

---

• マルウェアタイプ: ワーム
• 破壊活動の有無: なし
• 暗号化:  
• 感染報告の有無: はい

---

  概要

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

---

  詳細

侵入方法

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ワームは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

• %All Users Profile%\inetinfo.exe

(註：%All Users Profile%フォルダは、ユーザの共通プロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\All Users” です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData” です。)

ワームは、以下のファイルを作成します。

• %User Temp%\conm.dll
• {removable drive}\AuToRUn.iNf
• {removable drive}\RECYCLER\{encrypted computer name}.ldf
• %All Users Profile%\DRM\Media\{encrypted computer name}.ldf {if DRM folder is found}
• %All Users Profile%\Documents\Media\{encrypted computer name}.ldf {if DRM folder is not found}

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %All Users Profile%フォルダは、ユーザの共通プロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\All Users” です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData” です。)

ワームは、以下のファイルを作成し実行します。

• %User Temp%\se.bat - deleted after execution
• %User Temp%\oi.bat {disable most security features} - deleted after execution

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

ワームは、以下のプロセスを追加します。

• "%Program Files%\winrar\rar.exe" a -apX -r -ed-tk -m5 -dh -tl-hpThis0nePiece-taYYYYMMDD {shortened %All Users Profile%\DRM\Media\{encrypted computer name}.ldf} X:\*.doc X:\*.DOCX
  • where X (apX included) = drives with drivetypes: DRIVE_FIXED or DRIVE_REMOTE
  • YYYYMMDD, where MM = Month-1 && DD = Day-1
  • if "%All Users Profile%\DRM" is not found, replace with "%All Users Profile%\Documents" instead

(註：%All Users Profile%フォルダは、ユーザの共通プロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\All Users” です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData” です。)

ワームは、以下のフォルダの属性をシステムフォルダおよび隠しフォルダに設定します。これにより、自身のコンポーネントの検出および削除を避けます。

• %All Users Profile%\DRM\Media {if DRM folder is found}
• %All Users Profile%\Documents\Media {if DRM folder is not found}

(註：%All Users Profile%フォルダは、ユーザの共通プロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\All Users” です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData” です。)

他のシステム変更

ワームは、以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{7849596a-48ea-486e-8937-a2a3009f31a9}\InProcServer32
(Default) = "%User Temp%\conm.dll"

(註：変更前の上記レジストリ値は、「"%SystemRoot%\system32\shell32.dll"」となります。)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile
EnableFirewall = 0

(註：変更前の上記レジストリ値は、「1 {unless user purposely disabled firewall}」となります。)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Control\Lsa
forceguest = 0

(註：変更前の上記レジストリ値は、「0 {for admin accounts}; 1 {for guest accounts}」となります。)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Control\Lsa
limitblankpassworduse = 0

(註：変更前の上記レジストリ値は、「0 {if account has password}; 1 {if account has no password}」となります。)

感染活動

ワームは、すべてのリムーバブルドライブ内に以下のフォルダを作成します。

• RECYCLER {copies the content of Recycle Bin}

ワームは、すべてのリムーバブルドライブ内に以下として自身のコピーを作成します。

• RECYCLER\wmimgmt.com

プロセスの終了

ワームは、感染コンピュータ上で確認した以下のサービスを終了します。

• Security Center (wscsvc) - also disables its autostart

ダウンロード活動

ワームは、以下のファイル名でダウンロードしたファイルを保存します。

• %User Temp%\kis.exe
• %User Temp%\kisi.exe
• %User Temp%\BRHFLQ.XML

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

情報漏えい

ワームは、以下の情報を収集します。

• Disk space information
• Computer name
• All .doc and .docx files located on fixed and remote drives

---

  対応方法

ご利用はいかがでしたか？　アンケートにご協力ください