(2)放送局および金融機関のネットワーク障害を誘発したマルウェア分析

==================================

アンラボコリアの ASEC (セキュリティ対応センター：AhnLab Security Emergency response Center、以下ASEC) は、今回のネットワーク障害を誘発するマルウェアの新しい亜種と前述した二つの感染ケースと違う形態を追加的に発見しました。

まず、追加で発見されたディスクの破損を誘発するマルウェアFile Gは既存の発見されたFile BとFile Fと同じ機能ですが、ディスクの破損を誘発するための上書きした文字列が 「PR！NCPES」で変更されました。

そして追加発見された感染ケースとして使用されたマルウェアは、下の図のような構造で動作します。

File H は File I と File J の二つのファイルをWindowsのシステムフォルダ（C：\ Windows\ system32）に生成した後、File Iを実行させます。
実行されたFile I はFile Jを通常のシステムプロセスであるLsass.exeプロセスにインジェクションします。

インジェクションが正常に行われると、File Jはヒープ（Heap）を割り当てられた後、エンコード（Encoding）されている自分のコードをデコード（Decoding）してヒープを生成して、スレッド（Thread）で駆動します。 この時、駆動されるスレッドはディスクを前述したFile Gと同じ 「PR！NCPES」 文字列でディスクを上書きします。

まず、File HはFile Iをシステムが再起動するたびに自動的に実行するために、Windowsのレジストリ（Registry）に、次のキーの値を追加します。

そしてWindowsシステムフォルダに生成されたFile IとFile Jの時間情報をKernel32.dllが持っている時間情報と同一に設定します。

File Hは、マルウェアが駆動できる環境を用意した後に、CMD.exeを利用してShellExecuteA関数を呼び出してFile Hを自ら削除します。

File IはSeDebugPrivilege権限を利用してFile Jを通常のシステムプロセスであるLsass.exeでインジェクションを試します。

インジェクションは、通常のシステムであるLsass.exeプロセスを見つけて、File Jのファイル名を文字列でメモリ割り当てをした後、その文字列を引数にしてLoadLibraryW関数を開始アドレスにとし、CreateRemoteThreadを呼び出す手法を利用しました。

File Jがインジェクションに成功すると、XOR 0x55へエンコードされているディスク破損のためのコードをデコードした後に割り当てられたメモリへ記述します。

そしてGetLocalTime関数を利用して感染されたシステムの現在の時刻を取得した後、3月20日15時になるまで待機していました。

この後、3月20日15時01分になると、デコードされたディスクの破損のためにThreadで動作しました。全体的な機能は、前述したFile Gと同じですが、以下の二つだけが違います。

現在までに今回のネットワークの障害関連のマルウェアはV3製品群で、次のように診断します。

Win-Trojan/Agent.24576.JPF（2013.03.20.06）
Win-Trojan/Agent.24576.JPG（2013.03.20.07）
Trojan/Win32.XwDoor（2013.03.20.07）
Dropper/Eraser.427520（2013.03.20.07）
SH/ Eraer（2013.03.20.07）
Dropper/Hijacker.153088（2013.03.21.01）
Win-Trojan/Loader.49152（2013.03.21.01）
Win-Trojan/Injector.46080.AX（2013.03.21.01）

現在ASECでは、追加の情報を継続的に収集しており、関連するマルウェアの詳細な分析情報を作成中です。