Trend Micro Security

TROJ_MSILKRYPT.AUSIM

2017年1月18日
 解析者: RonJay Kristoffer Caragay   
 別名:

VirTool:Win32/DelfInject (Microsoft); Trojan-Dropper.Win32.Dapato.orgn (Kaspersky);

 プラットフォーム:

Windows

 危険度:
 ダメージ度:
 感染力:
 感染確認数:
 情報漏えい:


  • マルウェアタイプ: トロイの木馬型
  • 破壊活動の有無: なし
  • 暗号化:  
  • 感染報告の有無: はい

  概要


マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、Windowsのタスクスケジューラを用いて、「スケジュールされたタスク」を作成します。これにより、作成されたコピーが実行されます。

マルウェア マルウェアは、自身（コンピュータに侵入して最初に自身のコピーを作成した マルウェア ）を削除します。

  詳細

ファイルサイズ 503,808 bytes
タイプ EXE
発見日 2017年1月17日

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

  • %System%\Tasks\Microsoft\Windows\Windows Media Sharing\MediaCheckUpdate
  • %System%\Tasks\Microsoft\Windows\Windows Media Sharing\MediaIdle
  • %System%\Tasks\Microsoft\Windows\Windows Media Sharing\WinMediaShare

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

  • %Application Data%\Microsoft\Windows\winmedia9.exe

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

マルウェアは、Windowsのタスクスケジューラを用いて、「スケジュールされたタスク」を作成します。これにより、作成されたコピーが実行されます。

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
WinMediaShare = "%Application Data%\Microsoft\Windows\winmedia9.exe"

作成活動

マルウェアは、以下のファイルを作成します。

  • %Application Data%\{random}.exe
  • %Application Data%\todo.cmd
  • %Application Data%\upx.exe
  • %Application Data%\au3cds.exe

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

その他

マルウェアは、以下の不正なWebサイトにアクセスします。

  • http://i.{}BLOCKED}r.com/{random}.png
  • https://{BLOCKED}yip.com/xml
  • https://i.{BLOCKED}e.org/{random}.png
  • https://{BLOCKED}ig.co/json
  • https://{BLOCKED}og1.blogspot.com.br/
  • http://{BLOCKED}3.ax.lt/au3meta.png
  • http://{BLOCKED}3.ax.lt/download.php
  • http://{BLOCKED}3.ax.lt/i.php?e={value}
  • http://{BLOCKED}3.ax.lt/i.php?l={value}
  • http://{BLOCKED}3.ax.lt/pedll2.png
  • http://www.{BLOCKED}um.com.br/wp-content/themes/kingsize/m2.exe
  • http://www.{BLOCKED}um.com.br/wp-content/themes/kingsize/rs6.exe

マルウェア は、自身（コンピュータに侵入して最初に自身のコピーを作成した マルウェア ）を削除します。