• Email
• Facebook
• Twitter
• Google+
• Linkedin

TROJ_WHAIM.A

---

• マルウェアタイプ: トロイの木馬型
• 破壊活動の有無: なし
• 暗号化: はい
• 感染報告の有無: はい

---

  概要

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

このマルウェアは、「マスター・ブート・レコード（MBR）」を"一掃"する脅威で、韓国水力原子力発電のシステムに感染しました。

マルウェアは、他のマルウェアに作成され、コンピュータに侵入します。

---

  詳細

侵入方法

マルウェアは、以下のマルウェアに作成され、コンピュータに侵入します。

• TROJ_MDROP.WQA

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %System%\{random file name}.dll

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

自動実行方法

マルウェアは、以下のレジストリ値を追加し、セーフモード状態でも自身が実行されるようにします。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Control\SafeBoot\Minimal\
{random data}
(Default) = "Service"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Control\SafeBoot\Network\
{random data}
(Default) = "Service"

マルウェアは、以下のレジストリキーを追加し、セーフモード状態でも自身が実行されるようにします。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Control\SafeBoot\Minimal\
{random data}

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Control\SafeBoot\Network\
{random data}

マルウェアは、作成されたコンポーネントをシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{random data}\Parameters
ServiceDll = "%System%\{random file name}.dll"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{random data}\Parameters
ServiceMain = "ServiceMain"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{random data}
ImagePath = "%SystemRoot%\System32\svchost.exe -k {random value}"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{random data}
DisplayName = "{random value}"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{random data}
Description = "{random description}"

マルウェアは、作成されたコンポーネントをシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{random data}\Parameters

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{random data}

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\PcaSvcc

その他

オペレーティングシステム（OS）がWindows Vistaまたはそれ以上で64-bit版の場合、このマルウェアは以下のマルウェアを作成し、実行します。

• TROJ64_WHAIM.A

このマルウェアは、文字列「Who Am I?」を用いて、感染コンピュータの「マスター・ブート・レコード（MBR）」を上書きします。

感染後、マルウェアはコンピュータを再起動し、以下を表示します。

{random file name}には以下のいずれかが入る可能性があります。

• bddsvc.dll
• iconsvc.dll
• ehressvc.dll
• netstsvc.dll
• pnas.dll
• pnrpmchname.dll
• pwpsvc.dll
• pcssvc.dll
• rregconf.dll
• scardmngsvc.dll
• tcpmsvc.dll
• tschmng.dll
• mmthread.dll
• wcmngsvc.dll
• coladj.dll
• wndmodmng.dll
• timesyncsvc.dll
• wiredconfsvc.dll
• wlanconf.dll
• wstmng.dll

{random value}には以下のいずれかが入る可能性があります。

• blockcom
• iconcom
• mcsvccom
• nssvccom
• pnacom
• pnrpcom
• ppolcom
• pcompcom
• rregcom
• scardcom
• tpcmcom
• tschcom
• mmthcom
• wcmngcom
• wndcolcom
• wndmodcom
• wndtimecom
• wconfcom
• wlanconfcom
• wstcom

{random data}には以下のいずれかが入る可能性があります。

• BitLocker Drive Decryption Service
• Internet Connection Service
• Media Center Service
• Network Storage Service
• Peer Networking Address
• PNRP Machine Name
• Power Policy
• Program Compatibility Service
• Remote Registry Configuration
• Smart Card Management Service
• Tablet PC Management Service
• Task Schedule Manager
• Thread Ordering Service
• WebClient Manage Service
• Windows Color Adjustment
• Windows Modules Management
• Windows Time Synchronization
• Wired Config Service
• WLAN Config Service
• Workstation management

{random description}には以下のいずれかが入る可能性があります。

• BDESVC hosts the BitLocker Drive Decryption service.
• Provides network address translation, addressing, name resolution and/or intrusion prevention services for a home or small office network.
• Allows Media Center to locate and connect to the computer.
• This service delivers network notifications (e.
• Enables multi-party communication using Peer-to-Peer Connecting.
• This service publishes a machine name using the Peer Name Resolution Protocol.
• Manages power policy and power policy notification delivery.
• This service provides support for the Program Compatibility Assistant (PCA).
• Enables remote users to modify registry configurations on this computer.
• Manages access to smart cards read by this computer.
• Enables Tablet PC pen and ink functionality
• Enables a user to configure and schedule automated tasks on this computer.
• Provides ordered execution for a group of threads within a specific period of time.
• Enables Windows-based programs to create, access, and modify Internet-based files.
• The WcasPlugInService service hosts third-party Windows Color System color device model and gamut map model plug-in modules.
• Enables installation, modification, and removal of Windows updates and optional components.
• Maintains date and time synchronization on all clients and servers in the network.
• The Wired AutoConfig (DOT3SVC) service is responsible for performing IEEE 802.1X

---

  対応方法

ご利用はいかがでしたか？　アンケートにご協力ください