Trend Micro Security

WORM_DLOADR.SMM

2012年10月8日
 更新者 : Christopher Daniel So
 別名:

VirTool:Win32/Injector.gen!AD (Microsoft), Backdoor.IRC.Bot (Symantec), BackDoor-EEF (McAfee), Net-Worm.Win32.Agent.bk (Kaspersky), Net-Worm.Win32.Kolab.gen (Sunbelt), W32/Injector.HMH!tr (Fortinet), W32/Downldr2.GLQI (FProt), Win32/IRCBot.AMC trojan (Nod32), Trj/Downloader.MDW (Panda), TR/Dropper.Gen (AntiVir), W32/Downldr2.GLQI (Authentium), Worm.Win32.Pushbot (Ikarus), Backdoor W32/Smalldoor.JZTO (Norman), Backdoor.SdBot.ovb (Quickheal)

 プラットフォーム:

Windows 2000, XP, Server 2003

 危険度:
 ダメージ度:
 感染力:
 感染確認数:


  • マルウェアタイプ: ワーム
  • 破壊活動の有無: なし
  • 暗号化: なし
  • 感染報告の有無: はい

  概要

感染経路 リムーバブルドライブを介した感染活動, ソフトウェアの脆弱性を利用した感染活動

ワーム活動：リムーバブルドライブおよびソフトウェア脆弱性の利用

ワームは、リムーバブルドライブを介してコンピュータに侵入します。 ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。 ワームは、パスワードのリストを利用し、パスワード保護された共有フォルダにアクセスします。

ワームは、特定のWebサイトにアクセスします。これにより、不正リモートユーザにワームのインストールが知らされます。また、不正なファイルがダウンロードされます。この結果、感染コンピュータは、さらなる他の脅威にさらされることとなります。 ただし、情報公開日現在、このWebサイトにはアクセスできません。

  詳細

ファイルサイズ 不定
タイプ PE
メモリ常駐 なし
発見日 2009年9月8日
ペイロード システムセキュリティへの感染活動, ファイルのダウンロード

侵入方法

ワームは、リムーバブルドライブを介してコンピュータに侵入します。

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ワームは、感染したコンピュータ内に以下のように自身のコピーを作成します。

  • %Windows%\system\winrsc.exe

(註：%Windows%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows9x、Me、XP、Server 2003の場合、"C:\Window"、WindowsNT および 2000の場合、"C:\WINNT" です。)

ワームは、以下のコンポーネントファイルを作成します。

  • %System%\drivers\sysdrv32.sys - detected by Trend Micro as RTKT_NEERIS.AH

(註：%System%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\System"、Windows NT および 2000 の場合、"C:\WinNT\System32"、Windows XP および Server 2003 の場合、"C:\Windows\System32" です。)

自動実行方法

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
Windows System Monitor = "%Windows%\system\winrsc.exe"

他のシステム変更

ワームは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Control\SafeBoot\Minimal\
WINSYSMON

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Control\SafeBoot\Network\
WINSYSMON

ワームは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Control\SafeBoot\Minimal\
WINSYSMON
(Default) = "Service"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Control\SafeBoot\Network\
WINSYSMON
(Default) = "Service"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\AuthorizedApplications\
List
%Windows%\system\winrsc.exe = "%Windows%\system\winrsc.exe:*:Microsoft Enabled"

感染活動

ワームは、以下の共有フォルダ内に自身のコピーを作成します。

  • c$\windows\system32
  • c$\winnt\system32
  • d$\windows\system32
  • d$\winnt\system32
  • Admin$
  • Admin$\system32

ワームは、すべてのリムーバブルドライブ内に以下として自身のコピーを作成します。

  • win.com

ワームは、以下のファイル名を用いて、ネットワーク共有フォルダ内に自身のコピーを作成します。

  • eraseme_{random numbers}.exe

ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。

上記INFファイルには、以下の文字列が含まれています。

[autorun]
shellexecute=win.com
action=Open folder to view files
shell\default=Open
shell\default\command=win.com
shell=default

ワームは、以下のパスワードのリストを利用し、パスワード保護された共有フォルダにアクセスします。

  • !@#$
  • !@#$%
  • 1111
  • 111111
  • 1234
  • 12345
  • 123456
  • 2000
  • 2001
  • 2002
  • 2003
  • 2004
  • 2005
  • 2006
  • 2007
  • 2009
  • 654321
  • 9999
  • abc123
  • admin
  • admin123
  • administrador
  • administrat
  • administrateur
  • administrator
  • admins
  • anonymous
  • apache
  • asdf
  • asdfgh
  • backup
  • changeme
  • changeme2
  • cisco
  • compaq
  • computer
  • database
  • debug
  • default
  • ftpd
  • fuck
  • gateway
  • guest
  • hello
  • home
  • httpd
  • internet
  • kids
  • login
  • love
  • mail
  • master
  • monitor
  • mssql
  • mypass
  • mypassword
  • mysql
  • netadmin
  • netman
  • network
  • none
  • operator
  • oracle
  • owner
  • pass
  • passwd
  • password
  • password123
  • private
  • public
  • pwpwd
  • qwerty
  • recovery
  • root
  • school
  • secret
  • secrets
  • security
  • server
  • serveradmin
  • service
  • staff
  • storage
  • student
  • superuser
  • support
  • sysadm
  • system
  • teacher
  • tech
  • temp
  • test
  • user
  • veritas
  • webadmin
  • windows
  • windowsxp
  • work
  • wwwadmin

ダウンロード活動

ワームは、以下の不正Webサイトにアクセスします。

  • http://www.{BLOCKED}btown.com/desktopz/bb.exe

ただし、情報公開日現在、このWebサイトにはアクセスできません。

バックドア活動

マルウェアは、以下のポートを開きます。

  • 555

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

  • ファイルのダウンロード
  • ファイルの実行

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

  • {BLOCKED}pcord.com

その他

マルウェアは、情報収集する機能を備えていません。

マルウェアは、ランダムなニックネームおよびユーザ名を使用して以下のサーバに接続し、「#x#」のチャンネルに参加します。

  • mail.vspcord.com

マルウェアは、感染したコンピュータの設定に関する情報を収集します。その後、マルウェアは、ネットワーク内の利用可能なIPアドレスを一覧にします。利用可能なIPアドレスが確認できた場合、マルウェアは、利用可能なユーザアカウントをリスト化して、辞書攻撃によりネットワーク内の他のコンピュータに接続します。この辞書攻撃には、上記のパスワードが利用されます。また上記のパスワードは、標的とするコンピュータに接続する際に、ユーザ名として利用されます。

マルウェアは、ネットワークを介して感染活動を行うと、標的となるコンピュータ上でサービスを作成してファイルを実行します。ファイルが実行されると、マルウェアは、作成されたサービスを削除します。サービスの作成に失敗した場合、マルウェアは、自身の作成したコピーを実行可能とするため、「NetScheduleJobAdd」APIを用いて、"%Windows%\Tasks" フォルダ内にスケジュール化されたタスクファイルの作成を試みます。

マルウェアは、以下の脆弱性を利用してネットワーク上で感染活動をします。

  対応方法

対応検索エンジン: 8.900
VSAPI OPR パターンバージョン 6.517.00
VSAPI OPR パターンリリース日 2009年10月9日

手順 1

Windows XP および Windows Server 2003 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

手順 2

この「WORM_DLOADR.SMM」が作成、あるいは、ダウンロードした以下のファイルを検索し、検索した場合は削除してください。

手順 3

「WORM_DLOADR.SMM」で検出したファイル名を確認し、そのファイルを終了します。

[ 詳細 ]

  • 検出ファイルが、Windows のタスクマネージャまたは Process Explorer に表示されるものの、削除できない場合があります。この場合、コンピュータをセーフモードで再起動してください。
    セーフモードについては、こちらをご参照下さい。
  • 検出ファイルがタスクマネージャ上で表示されない場合、次の手順にお進みください。

手順 4

このレジストリ値を削除します。

[ 詳細 ]

警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。

  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
    • Windows System Monitor=%Windows%\system\winrsc.exe
  • In HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List
    • %Windows%\system\winrsc.exe=%Windows%\system\winrsc.exe:*:Microsoft Enabled

手順 5

このレジストリキーを削除します。

[ 詳細 ]

警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。

  • In HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal
    • WINSYSMON
  • In HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Network
    • WINSYSMON

手順 6

「WORM_DLOADR.SMM」が作成した AUTORUN.INF を検索し削除します。このファイルには、以下の文字列が含まれています。

[ 詳細 ]
[autorun]
shellexecute=win.com
action=Open folder to view files
shell\default=Open
shell\default\command=win.com
shell=default

手順 7

最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「WORM_DLOADR.SMM」と検出したファイルはすべて削除してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。

手順 8

以下の修正パッチをダウンロードし適用します。この脆弱性に対する修正パッチを適用するまで、該当製品の使用をお控えください。この製品の製造元が公開する正式な修正パッチをダウンロードし適用することをお勧めします。


ご利用はいかがでしたか？　アンケートにご協力ください