• Email
• Facebook
• Twitter
• Google+
• Linkedin

WORM_GAMETHI.MBC

---

• マルウェアタイプ: ワーム
• 破壊活動の有無: なし
• 暗号化: なし
• 感染報告の有無: はい

---

  概要

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

作成されたファイルは、すべての実行中プロセスに組み込まれ、システムのプロセスに常駐します。

ワームは、レジストリ値を変更し、システムファイルおよび読み取り専用属性のファイルを非表示にします。

ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。

ワームは、バックドア活動の機能を備えていません。

ただし、情報公開日現在、このWebサイトにはアクセスできません。

ワームは、特定のオンラインゲームで用いられるユーザ名およびパスワードなどの個人情報を収集します。収集された情報は、サイバー犯罪者に悪用される恐れがあります。

ワーム マルウェアは、自身（コンピュータに侵入して最初に自身のコピーを作成した ワーム ）を削除します。

---

  詳細

侵入方法

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ワームは、以下のファイルを作成します。

• %User Temp%\rbking0.dll - also detected as WORM_GAMETHI.MBC

(註：%User Temp%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\Temp"、Windows NT の場合、"C:\Profiles\＜ユーザー名＞\TEMP"、Windows 2000、XP、Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\TEMP" です。)

ワームは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %User Temp%\rbking.exe

(註：%User Temp%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\Temp"、Windows NT の場合、"C:\Profiles\＜ユーザー名＞\TEMP"、Windows 2000、XP、Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\TEMP" です。)

作成されたファイルは、すべての実行中プロセスに組み込まれ、システムのプロセスに常駐します。

自動実行方法

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
king_rb = "%User Temp%\rbking.exe"

他のシステム変更

ワームは、以下のレジストリ値を変更し、システムファイルおよび読み取り専用属性のファイルを非表示にします。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
Hidden = "2"

(註：変更前の上記レジストリ値は、「1」となります。)

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
ShowSuperHidden = "0"

(註：変更前の上記レジストリ値は、「1」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced\Folder\Hidden\
SHOWALL
CheckedValue = "0"

(註：変更前の上記レジストリ値は、「1」となります。)

感染活動

ワームは、すべての物理ドライブおよびリムーバブルドライブ内に以下として自身のコピーを作成します。

• skg1.exe

ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。

上記INFファイルには、以下の文字列が含まれています。

[AutoRun]
open=skg1.exe
shell\open\Command=skg1.exe

バックドア活動

ワームは、バックドア活動の機能を備えていません。

プロセスの終了

ワームは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• ALUSCHEDULERSVC.EXE
• ASHDISP.EXE
• AVGNT.EXE
• AVGRSX.EXE
• AVP.EXE
• AYAGENT.AYE
• AYUpdate.aye
• CCSVCHST.EXE
• EKRN.EXE
• LIVESRV.EXE
• SfFnUp.exe
• UFSEAGNT.EXE
• UfUpdUi.exe
• Update.exe
• VCRMON.EXE
• VSTSKMGR.EXE
• avast.setup
• avgupd.exe
• eguiEmon.dll
• eguiEpfw.dll
• ekrnEmon.dll
• ekrnEpfw.dll
• luall.exe
• mcupdate.exe
• preupd.exe
• prupdate.ppl
• setup.ovr
• update.exe
• updater.dll
• vsupdate.dll

ダウンロード活動

ワームは、以下のWebサイトから自身のコピーの更新版をダウンロードします。

• http://www.{BLOCKED}8.com/1rb/ar1.rar

ただし、情報公開日現在、このWebサイトにはアクセスできません。

情報漏えい

ワームは、特定のゲームで用いられるユーザ名およびパスワードなどの個人情報を収集します。

情報収集

ワームは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

• {BLOCKED}8.com

その他

ワーム は、自身（コンピュータに侵入して最初に自身のコピーを作成した ワーム ）を削除します。

ワームは、以下のプロセスに自身を組み込み、ユーザ名およびパスワードなどの個人情報を収集します。

• ARAD.exe
• Atlantica.exe
• cabalmain.exe
• coc.exe
• explorer.exe
• iexplore.exe
• lin.bin
• maplestory.exe
• pol.exe
• Ragexe.exe
• red stone.exe

また、ワームは、以下のWebサイトに関連するユーザ名およびパスワードを収集します。

• www.arad.jp
• arad.hangame.co.jp
• member.gungho.jp
• https://login.yahoo.co.jp/config/login_verify2?.src=ym
• https://login.yahoo.co.jp/config/login?

ワームは、ルートキット機能を備えていません。

ワームは、脆弱性を利用した感染活動を行いません。

ワームが作成する以下のファイルは、このワームとして検出されます。

• %User Temp%\rbking0.dll

---

  対応方法

ご利用はいかがでしたか？　アンケートにご協力ください