[セキュリティブログ] 偽ActiveX マルウェア
インターネット上でメディアや既存の応用プログラムを実行する際、ActiveX を使用します。今回、この ActiveX を装ったマルウェアが発見されました。
[図 1] 『安全なサイト実行のためのActiveX』という名のマルウェア
このマルウェアが配布されたブログは、現在無効になっています。マルウェア配布者は、下図のような画面上部に現れる黄色の [ActiveX 情報バー] をユーザーが疑いなくクリックしてインストールするという点に着目し、ターゲットにしたと推定します。
この偽 ActiveX ファイルを実行すると、下図のように [ローマ字 6 ケタ].exe ファイルがシステムフォルダ (system32) の下位のパスにランダムに生成されます (c:\windows\system32\wjqeux.exe)。
[図 3] マルウェアが生成されるファイルおよび自動登録されるサービス
そして、下記のように特定のサーバー (121.*.***.204) に持続的にアクセスを試みます。そして、サーバーに負荷をかけるなどの被害をきたします。
[図 4] マルウェアが生成されるファイル
*現在はアクセスできない状態になっています。
韓国のアイドルグループの動画のありかとした URL にアクセスさせ、動画の視聴を目的として ActiveX のインストールを誘導してマルウェアへの感染を試みる事例を確認しました。
このように特定の機能/サービス等の利用を目的としてインストールする必要がある ActiveX ですが、コーデックのインストールファイル等を装ってマルウェアが配布されることもあります。信頼できないブログなどから配布されているファイルやインストールされるプログラムに対して、格別な注意をはらう必要があります。
＜V3 製品シリーズでの診断名＞
Trojan/Wind32.Scar (AhnLab, 2012.07.31.02)
