TROJ_KILLMBR.DS

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

マルウェアは、2013年3月に韓国のユーザを狙った「マスター・ブート・レコード（MBR）」を復旧困難にさせるマルウェアの大規模発生に関連しています。マルウェアは、感染コンピュータ上で、感染コンピュータ上のMBRを復旧困難にさせる破壊的な不正活動を行うマルウェアを作成および実行します。このマルウェアに感染したユーザのコンピュータは、操作不能、終了、および実行不能に見舞われることとなります。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のコンポーネントファイルを作成します。

• %User Temp%\alg.exe - PuTTY client
• %User Temp%\conime.exe - PuTTY client
• %User Temp%\~pr1.tmp - detected by Trend Micro as UNIX_KILLMBR.A

(註：%User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

マルウェアは、以下のファイルを作成し実行します。

• %User Temp%\AgentBase.exe - detected by Trend Micro as TROJ_KILLMBR.SM

(註：%User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

その他

マルウェアは、コンピュータから以下の２つのSSHクライアントの環境設定ファイルを検索します。

• Felix Deimel の "mRemote" の場合： %AppDataLocal%\Felix_Deimel\mRemote\confCons.xml
• VanDyke の "Secure CRT" の場合： %Application Data%\VanDyke\Config\Sessions

環境設定ファイルを確認した場合、それを解析し、リモートコンピュータのroot権限を持つユーザを検索します。そして接続情報を抽出します。

接続情報を利用し、マルウェアは、作成したクライアント "PuTTY" でリモートコンピュータへ接続します。接続が確立すると、マルウェアは、リモートコンピュータ上でファイル "%User Temp%\~pr1.tmp" を "/tmp/cups" としてアップロードし、実行します。

マルウェアが作成する以下のファイルは、クライアント "PuTTY" です。

• %User Temp%\alg.exe
• %User Temp%\conime.exe

マルウェアが作成する以下のファイルは、「UNIX_KILLMBR.A」として検出されます。

• %User Temp%\~pr1.tmp

マルウェアが作成し、実行する以下のファイルは、「TROJ_KILLMBR.SM」として検出されます。

• %User Temp%\AgentBase.exe