[セキュリティブログ] セキュリティソフトによる検出を避ける為に変身するマルウェアに注意！

 

セキュリティソフトによる検出を避ける為に、頻繁に姿を変えるオンラインゲームハックマルウェアが韓国で発見されました。このマルウェアは、ユーザーのアカウントを盗み、追加的な被害を起こしますが、セキュリティソフトが継続的にマルウェアを追跡し検出する為、変身したものと推測できます。

 

一般的にオンラインゲームハックマルウェアは、[図 1] のように感染されますが、マルウェアが感染する際、検出を避ける為に変身します。

[図 1] 一般的なオンラインゲームハックマルウェアの感染プロセス

  

 

従来のオンラインゲームの感染対象は、ws2help.dll、imm32.dll、usp.dll、wshtcpip.dll、midimap.dll 等のシステム構成ファイルを交換する形式でした。しかし、従来の感染対象に kakubi.dll というファイルが追加されて、セキュリティソフトによる検出、駆除のプロセスを妨害する方向に発展しました。最近では、kakubi.dll ファイルがセキュリティソフトにより検出されるようになり、kakubi.dll のファイル名を変えて拡散し始めています。  

 

 

このマルウェアに感染すると、[図 2] のように、AV-Kill マルウェアがサービス項目にデバイスドライバーとして登録されて感染されます。

[図 2] ファイルのドライバーとして登録された AV-Kill マルウェア

 

 

ドライバーファイルが登録されて、セキュリティソフトの動作を妨害し、[図 3] のように、Windows OS の正常システムの構成ファイルをマルウェアに置き換えます。 wshtcpip.dll ファイルがその対象であり、正常ファイルは wshtcpzi.dll ファイルにバックアップされます。

[図 3] マルウェアに置き換えられた wshtcpip.dll ファイル

 

 

[図 4] のようにインターネットエクスプローラーの kakuzi.dll という名前の BHO（Browser Helper Objects）として登録されます。従来は kakubi.dll という名前で拡散されましたが、セキュリティソフトの検出を避ける為に kakuzi.dll に変更しました。

[図 4]  BHO として登録された kakuzi.dll マルウェアファイル

 

 

マルウェアは、[図 5] のようにシステム情報を送信する機能が含まれています。

[図 5] 最初のマルウェア感染時に特定サーバーへ接続してシステム情報を送信

 

 

この IP で接続するサーバーは、[図 6] のようにワシントン DC に位置していることが確認できました。

[図 6] マルウェアが通信するリモートシステムの位置

 

 

2012年に改正された韓国の 「ゲーム産業振興に関する法律施行令」 に伴い、ゲームアイテムの取引が禁止されたことにより、直接インターネットバンキングの口座情報を奪取し、現金を盗むファーミング手法が猛威を振るうようになりました。

オンラインゲームハックが拡散された既存の侵害サイトの多くは、近年にもファーミングマルウェアを拡散していますが、オンラインゲームハックマルウェアが完全に無くならない限り、ユーザーの注意が必要です。

 

このマルウェアは、AhnLab V3　シリーズにより診断と駆除が可能です。