• Email
• Facebook
• Twitter
• Google+
• Linkedin

WORM_PALEVO.RE

---

• マルウェアタイプ: ワーム
• 破壊活動の有無: なし
• 暗号化: はい
• 感染報告の有無: はい

---

  概要

ワームは、リムーバブルドライブを介してコンピュータに侵入します。 ワームは、感染ネットワーク共有フォルダを介して、コンピュータに侵入します。 ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。

---

  詳細

侵入方法

ワームは、リムーバブルドライブを介してコンピュータに侵入します。

ワームは、感染ネットワーク共有フォルダを介して、コンピュータに侵入します。

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ワームは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

• {install directory}\wmpkv32.exe

ワームは、以下のフォルダを作成します。

• {install directory}

ワームは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• V8x
• muipcdraotse
• rbulnanbilnag

ワームは、以下のプロセスにコードを組み込み、システムのプロセスに常駐します。

• explorer.exe

ワームは、自身（コンピュータに侵入して最初に自身のコピーを作成したワーム）を終了し、侵入したコンピュータ内で作成した自身のコピーの方を実行します。

自動実行方法

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

{registry base key}\Software\Microsoft\
Windows\CurrentVersion\Run
WinMedia Server = {install directory}\wmpkv32.exe

他のシステム変更

ワームは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\AppCompatFlags\
Layers

ワームは、以下のレジストリ値を追加します。

{registry base key}\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\AppCompatFlags\
Layers
{install directory}\wmpkv32.exe = DisableNXShowUI

{registry base key}\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\AuthorizedApplications\
List
{install path}\wmpkv32.exe = "{install path}\wmpkv32.exe:*:Enabled:WinMediaServer"

{registry base key}\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\DomainProfile\AuthorizedApplications\
List
{install path}\wmpkv32.exe = "{install path}\wmpkv32.exe:*:Enabled:WinMediaServer"

感染活動

ワームは、すべてのリムーバブルドライブ内に以下のフォルダを作成します。

• {removable drive letter}:\DrvInf.{GUID}

ワームは、すべてのリムーバブルドライブ内に以下として自身のコピーを作成します。

• {removable drive letter}:\~drvcore.exe

ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。

上記INFファイルには、以下の文字列が含まれています。

{garbade code}
[Autorun]
{garbade code}
open=CMD /C START DrvInf.{GUID}\drvinf-x034697.core
{garbade code}
icon=%windir%\system32\SHELL32.dll,3
{garbade code}
action=Open drive to browse contents.
{garbade code}
shell\open=Open
{garbade code}
shell\open\command=CMD /C START DrvInf.{GUID}\drvinf-x034697.core
{garbade code}
shell\open\default=1
{garbade code}
useautoplay=1
{garbade code}

プロセスの終了

ワームは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• "TEATIMER.EXE"
• "MRT.EXE"
• "MRTSTRUB.EXE"
• "TCPVIEW.EXE"
• "HIJACKTHIS.EXE"
• "MSMPENG.EXE"
• "MSASCUI.EXE"
• "MPCMDRUN.EXE"
• "USBGUARD.EXE"
• "BILLY.EXE"
• "AADRIVE32.EXE"

作成活動

ワームは、以下のファイルを作成します。

• {removable/network drive letter}:\b.cpl -detected as TROJ_STARTER.BI
• {removable/network drive letter}:\ahn{number}.lnk - detected as EXPL_CPLINK.LH
• {removable/network drive letter}:\Autorun.inf - detected as Possible_OtorunJ

ダウンロード活動

ワームは、以下のWebサイトから自身のコピーの更新版ファイルをダウンロードします。

• http://{BLOCKED}.{BLOCKED}.35.28/awstats/rdat02.txt
• http://vps452.{BLOCKED}ckupsrv.su/net/5x2.zip

その他

ワームは、以下の不正なWebサイトにアクセスします。

• s48.{BLOCKED}ore.su
• s59.{BLOCKED}rog.su
• s66.{BLOCKED}rog.su
• s73.{BLOCKED}rog.su
• s81.{BLOCKED}rog.su
• s48.{BLOCKED}ore.su

ワームが作成する以下のファイルは、「TROJ_STARTER.BI」として検出されるファイルです。

• {removable/network drive letter}:\b.cpl

ワームが作成する以下のファイルは、「EXPL_CPLINK.LH」として検出されるファイルです。

• {removable/network drive letter}:\ahn{number}.lnk

ワームが作成する以下のファイルは、「Possible_OtorunJ」として検出されるファイルです。

• {removable/network drive letter}:\Autorun.inf

「{registry base key}」は、以下のいずれかとなる可能性があります。

• HKEY_LOCAL_MACHINE - 管理者グループに属するユーザ
• HKEY_CURRENT_USER - 非管理者ユーザ

「{install directory}」は、以下のいずれかとなる可能性があります。

• %System% - 管理者グループに属するユーザ
• %User Profile%\Network - 非管理者ユーザ

ワームは、以下のように自身のコピーの更新版をダウンロードします。

• {removable/network drive letter}:\DrvInf.{GUID}\drvinf-x034697.core

ワームは、実行されると自身の環境を確認します。以下のいずれかの条件を満たす場合自身を終了し削除します。

• フルファイルパスが以下の文字列を含む場合：
  • sample
  • virus
  • sand-box
  • sandbox
  • malware
  • test
• コンピュータ名が"VMG-CLIENT"である場合：
• コンピュータ名が以下の文字列を含む場合：
  • MORTE
  • Malekal
  • HOME-OFF-D5F0AC
  • DELL-D3E62F7E26
  • KAKAPROU-6405DA
• ユーザ名が"VMG-CLIENT"である場合：
• ユーザ名が以下の文字列を含む場合：
  • MORTE
  • Malekal
  • HOME-OFF-D5F0AC
  • DELL-D3E62F7E26
  • KAKAPROU-6405DA
  • klasnich
• コンピュータが仮想環境で実行中である場合：
  以下の文字列でレジストリを確認することにより環境を確認する。
  • VMware
  • VBox
  • Virtual
  • QEMU
• 実行中のプロセスが以下の文字列を含む場合：
  • vbox
  • vmsrvc
  • vmware
  • tcpview
  • wireshark.exe
  • regshot.exe
  • procmon.exe
  • filemon.exe
  • regmon.exe
  • procdump.exe
  • cports.exe
  • procexp.exe
  • squid.exe
  • dumpcap.exe
  • sbiectrl.exe
• 以下のいずれかのアプリケーションウィンドウである場合：
  • The WireShark NetWork Analyzer
  • Microsoft Network Monitor 3.3
  • SmartSniff
  • CurrPorts
  • TCPViewClass
  • Process Monitor - Sysinternals: www.sysinternals.com
  • Regshot 1.8.2
  • Process Explorer
• 以下のファイルのいずれかが存在する場合：
  • %Program Files%\WinPcap\rpcapd.exe
  • %Program Files%\WireShark\rawshark.exe
  • %Program Files%\Ethereal\ethereal.html
  • %Program Files%\Microsoft Network Monitor 3\netmon.exe

ワームは、脆弱性を利用した感染活動を行いません。

---

  対応方法

ご利用はいかがでしたか？　アンケートにご協力ください