• Email
• Facebook
• Twitter
• Google+
• Linkedin

Worm.Win32.WRAMPLYR.A

---

• マルウェアタイプ: ワーム
• 破壊活動の有無: なし
• 暗号化:  
• 感染報告の有無: はい

---

  概要

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ワームは、実行後、自身を削除します。

---

  詳細

侵入方法

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ワームは、以下のファイルを作成します。

• {Removable Drive}\$Recycle.bin\{360322e1-13ee-11e5-824f-dc9c5213ca21}\{Computer Name}.log
  • contains the ff gathered data:
  • Current Time
  • Computer name
  • Drive's USB Driver name
  • Direction of infection
• {Removable Drive}\$Recycle.bin.lnk

ワームは、以下のプロセスを追加します。

• If OS is Windows NT or later:
  • "schtasks /create /sc MINUTE /mo 20 /tn ""GoogleUpdateTaskMachineUAS"" /tr ""regsvr32 /s \""%AppDataLocal%\Microsoft\Media Player\{Malware Name}\"" /i:\""-s\"" "" /F"
  • "schtasks /run /tn ""GoogleUpdateTaskMachineUAS"""
• "cmd.exe /c ping 127.0.0.1&del ""{Malware Path}\$Recycle.bin\{Malware Name}"""

(註：%AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)

自動実行方法

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

If OS Version is earlier than Windows NT:
HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
wrapper.dll = regsvr32 /s "%AppDataLocal%\Microsoft\Media Player\wrapper.dll" /i:"-s"

感染活動

ワームは、すべてのリムーバブルドライブ内に以下として自身のコピーを作成します。

• {Removable Drive}\$Recycle.bin\wrapper.dll

アドウェア活動

ワームは、実行後、自身を削除します。

その他

ワームは、以下を実行します。

• It continues with routine if inside its following installation folder:
  • %AppDataLocal%\Microsoft\Media Player
  • {Removable Drive}\$Recycle.bin
  • {Malware path}\$Recycle.bin
• if "-s" parameter is NOT used it does the following:
  • Creates the following folders:
  • %AppDataLocal%\Microsoft\Media Player\{360322e1-13ee-11e5-824f-dc9c5213ca21}
  • %AppDataLocal%\Microsoft\Media Player\{5C29F891-91DD-4744-99CE-5D50E733BEA6}
  • Run BAT files found in %AppDataLocal%\Microsoft\Media Player\{5C29F891-91DD-4744-99CE-5D50E733BEA6}\
  • Searches for text files found in %AppDataLocal%\Microsoft\Media Player\{360322e1-13ee-11e5-824f-dc9c5213ca21}\ and does the following:
  • Encrypts found text files
  • Renames .txt files found to {original filepath and name}.{Computer Name}.{Current DateTime}
  • Looks for the following folders in removable drives where it transfers encrypted text files:
  • {Removable Drive}\$Recycle.bin\{360322e1-13ee-11e5-824f-dc9c5213ca21}

(註：%AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)

マルウェアは、以下のパラメータを受け取ります。

• -s -Does the following:
  • Transfers the following files from installation folder:
  • %AppDataLocal%\Microsoft\Media Player\{360322e1-13ee-11e5-824f-dc9c5213ca21}
  • %AppDataLocal%\Microsoft\Media Player\{5C29F891-91DD-4744-99CE-5D50E733BEA6}
  • %AppDataLocal%\Microsoft\Media Player\wrapper.dll <- self
  • %AppDataLocal%\Microsoft\Media Player\config.ini
  • To:
  • {Removable Drive}\$Recycle.bin\{360322e1-13ee-11e5-824f-dc9c5213ca21}
  • {removable drive}\$Recycle.bin\{5C29F891-91DD-4744-99CE-5D50E733BEA6}
  • {removable drive}\$Recycle.bin\wrapper.dll <- self
  • {removable drive}\$Recycle.bin\config.ini

(註：%AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)

---

  対応方法

ご利用はいかがでしたか？　アンケートにご協力ください