[セキュリティブログ] 偽装したマルウェア・・・
最近、偽セキュリティソフトをインストールするマルウェアが添付されたスパムメールが出回っています。今回、国際的なロジスティクス企業である DHL 社からのメールを装ったスパムメールに添付されている例が発見されました。このマルウェアは 4 月末から現在まで継続して発見されているため、ユーザーレベルでの注意が必要です。
メール原文には、『アドレスが正しくなかったため、メール発送に失敗しました』という内容が記載されており、添付ファイルのフォーマットを使用して DHLに問い合わせるよう誘導しています。
[図 4-1] 偽 メール
スパムメールに添付されている [DHL report.zip] 圧縮ファイルを解除した後、[DHL report.exe] ファイルを実行すると、Windows ファイアウォールを迂回するための自動複製版ファイルを生成し、例外プログラムとして登録します。
[ファイル生成]
C:\Documents and Settings\All Users\Local Settings\Temp\mswyyaa.com
また、システムをスタートする度に自動実行するようレジストリに登録し、下記 URL にアクセスするようになっています。
http://www.update.microsoft.com
http://fro***oro.***/and/image.php
http://fok***ol.***/and/image.php
http://uaw***uro2012.***/and/image.php
http://lis***ujik.***/and/image.php
http://www.update.microsoft.com は、マルウェア感染後にネットワークアクセス状態を確認する URL アドレスです。実際にこのマルウェアに感染したシステムで収集したファイルを実行すると、[Data Recovery] という偽セキュリティソフトをインスト―ルします。
データリカバリープログラムが実行すると、自動でシステムをスキャンし、偽診断内容を表示します。
[図 4-2] Data Recovery 偽セキュリティソフト
駆除する場合、ライセンス登録をするための決済を要求します。
[図 4-3] 決済を求める画面
このような偽セキュリティソフトに感染すると、一般的には Windows スタートメニューの [プログラム] に登録されたショートカットファイルおよびデスクトップのショートカットファイルを削除したり、ディスクドライブに保存された正常フォルダおよびファイルを隠しファイル属性に変更して、ユーザーに重要なファイルが削除されたと思わせるようなビヘイビアを行います。また、システム設定 (ファイル実行妨害、作業管理者および様々なシステムユーティリティ実行妨害、インターネットオプション変更妨害、Windows ファイアウォール非活性化など) を変更してシステムを使い難い状態にします。
＜V3 Mobile 製品シリーズでの診断名＞
Win-Trojan/Jorik.49664.K (2012.05.16.00)
Win-Trojan/Fakeav.278016.DJ (2012.05.16.00)
