• Email
• Facebook
• Twitter
• Google+
• Linkedin

WORM_DISTTRACK.A

---

• マルウェアタイプ: ワーム
• 破壊活動の有無: なし
• 暗号化: はい
• 感染報告の有無: はい

---

  概要

トレンドマイクロは、このワームをNoteworthy（要注意）に分類しました

ワームは、感染コンピュータのマスター・ブート・レコード（MBR）を上書きするコンポーネントを備えています。

ワームは、作成されたファイルを実行します。

---

  詳細

侵入方法

ワームは、ネットワーク共有フォルダを経由してコンピュータに侵入します。

インストール

ワームは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %System%\trksvr.exe

(註：%System%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\System"、Windows NT および 2000 の場合、"C:\WinNT\System32"、Windows XP および Server 2003 の場合、"C:\Windows\System32" です。)

自動実行方法

ワームは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\TrkSvr
Type = "10"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\TrkSvr
Start = "2"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\TrkSvr
ErrorControl = "0"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\TrkSvr
ImagePath = "%System\trksvr.exe"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\TrkSvr
DisplayName = "Distributed Link Tracking Server"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\TrkSvr
DependOnService = "RpcSs"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\TrkSvr
DependOnGroup = "0"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\TrkSvr
ObjectName = "LocalSystem"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\TrkSvr
Description = "Enables the Distributed Link Tracking Client service within the same domain to provide more reliable and efficient maintenance of links within the domain. If this service is disabled, any services that explicitly depend on it will fail to start."

ワームは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\TrkSvr

他のシステム変更

ワームは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\lanmanworkstation
DependOnService = "TrkSvr"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\lanmanworkstation
DependOnGroup = "0"

感染活動

ワームは、以下の共有フォルダ内に自身のコピーを作成します。

• \\{IP address}\ADMIN$\system32\{random file name}.exe
• \\{IP address}\C$\WINDOWS\system32\{random file name}.exe
• \\{IP address}\D$\WINDOWS\system32\{random file name}.exe
• \\{IP address}\E$\WINDOWS\system32\{random file name}.exe

作成活動

ワームは、以下のファイルを作成します。

• %System%\{random file name}.exe - detected by Trend Micro as TROJ_WIPMBR.A
• %System%\netinit.exe - detected by Trend Micro as TROJ_DISTTRACK.A

(註：%System%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\System"、Windows NT および 2000 の場合、"C:\WinNT\System32"、Windows XP および Server 2003 の場合、"C:\Windows\System32" です。)

ワームは、作成されたファイルを実行します。

その他

ワームが作成するファイルは以下のとおりです。

• %System%\{random file name}.exe - 「TROJ_WIPMBR.A」として検出
• %System%\netinit.exe - 「TROJ_DISTTRACK.A」として検出

コマンドラインのパラメータが特定される場合、ワームは以下のように自身のコピーを作成します。

• \\＜コマンドラインのパラメータ＞\ADMIN$\system32\{random file name}.exe
• \\＜コマンドラインのパラメータ＞\C$\WINDOWS\system32\{random file name}.exe
• \\＜コマンドラインのパラメータ＞\D$\WINDOWS\system32\{random file name}.exe
• \\＜コマンドラインのパラメータ＞\E$\WINDOWS\system32\{random file name}.exe

「{random file name}」 は、以下の中からランダムに選択されます。

• caclsrv
• certutl
• clean
• ctrl
• dfrag
• dnslookup
• dvdquery
• event
• extract
• findfile
• fsutl
• gpget
• iissrv
• ipsecure
• msinit
• netx
• ntdsutl
• ntfrsutil
• ntnw
• power
• rdsadmin
• regsys
• routeman
• rrasrv
• sacses
• sfmsc
• sigver
• smbinit
• wcscript

---

  対応方法

ご利用はいかがでしたか？　アンケートにご協力ください