Trend Micro Security

WORM_UPATRE.A

2018年3月23日
 解析者: Joselyn Canuela   
 別名:

Trojan-Downloader.Win32.Upatre.gjkd (Kaspersky), Trojan:Win32/Pynamer.A!ac (Microsoft)

 プラットフォーム:

Windows

 危険度:
 ダメージ度:
 感染力:
 感染確認数:
 情報漏えい:


  • マルウェアタイプ: ワーム
  • 破壊活動の有無: なし
  • 暗号化:  
  • 感染報告の有無: はい

  概要

感染経路 フラッシュドライブを介した感染活動, 他のマルウェアからの作成

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。

  詳細

ファイルサイズ 1,507,328 bytes
タイプ EXE
発見日 2017年12月16日
ペイロード URLまたはIPアドレスに接続, ファイルの作成

侵入方法

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ワームは、以下のファイルを作成します。

  • %ProgramData%\{GUID}\driver.dat
  • %ProgramData%\WindowsAppCertification\WindowHelperStorageHostSystemThread.ps1
  • %ProgramData%\WindowsAppCertification\checker.vbs
  • %ProgramData%\WindowsAppCertification\cert.cmd
  • %ProgramData%\MicrosoftCorporation\Windows\Helpers\SecurityHeaIthService.exe
  • %ProgramData%\MicrosoftCorporation\Windows\Helpers\SystemldleProcess.exe
  • %ProgramData%\MicrosoftCorporation\Windows\Helpers\winIogon.exe
  • {Malware Path}\CreateShortcut.vbs
  • %User Startup%\Isass.lnk
  • %System%\Tasks\Windows_Antimalware_Host
  • %System%\Tasks\Windows_Antimalware_Host_Systm

(註：%ProgramData%フォルダは、Windows Vista および 7 の場合、通常、"C:\ProgramData"、Windows 2000、XP (32ビット)、Server 2003 の場合、"C:\Program Files"、Windows XP (64ビット) の場合、"C:\Program Files (x86)" です。. %User Startup%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞\Start Menu\Programs\Startup" 、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、" C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup" です。.. %System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

ワームは、感染したコンピュータ内に以下のように自身のコピーを作成します。

  • %ProgramData%\MicrosoftCorporation\Windows\System32\Isass.exe

(註：%ProgramData%フォルダは、Windows Vista および 7 の場合、通常、"C:\ProgramData"、Windows 2000、XP (32ビット)、Server 2003 の場合、"C:\Program Files"、Windows XP (64ビット) の場合、"C:\Program Files (x86)" です。)

ワームは、以下のフォルダを作成します。

  • %ProgramData%\MicrosoftCorporation
  • %ProgramData%\WindowsAppCertification

(註：%ProgramData%フォルダは、Windows Vista および 7 の場合、通常、"C:\ProgramData"、Windows 2000、XP (32ビット)、Server 2003 の場合、"C:\Program Files"、Windows XP (64ビット) の場合、"C:\Program Files (x86)" です。)

自動実行方法

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Windows_Antimalware_Host_Syst = %ProgramData%\MicrosoftCorporation\Windows\System32\Isass.exe

感染活動

ワームは、すべてのリムーバブルドライブ内に以下として自身のコピーを作成します。

  • {Removable Drive}\autorun.exe

ワームは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。

ダウンロード活動

ワームは、以下のファイル名でダウンロードしたファイルを保存します。

  • %ProgramData%\{CB28D9D3-6B5D-4AFA-BA37-B4AFAABF70B8}\xmrig32.exe

(註：%ProgramData%フォルダは、Windows Vista および 7 の場合、通常、"C:\ProgramData"、Windows 2000、XP (32ビット)、Server 2003 の場合、"C:\Program Files"、Windows XP (64ビット) の場合、"C:\Program Files (x86)" です。)

その他

ワームは、以下の不正なWebサイトにアクセスします。

  • http://{BLOCKED}.{BLOCKED}bsdfjh.pw