違法ダウンロードゲーム (クラックファイル) の中に隠れているマルウェア

 

本セキュリティブログは、アンラボコリアより発表された内容を翻訳したものです。

==================================

 

人気ゲームの　「シムシティ（都市開発シミュレーションゲーム）」 を違法で楽しめるクラックファイル（改ざんされたファイル）に装ったマルウェアが発見され、注意が必要です。このマルウェアは、「Torrent (ファイル共有ソフト)」 を通じて、ゲームを無料で違法ダウンロードしたユーザーを対象に急速に拡散しています。
 

[図 1] 人気が高い 「シムシティ」 の新作ゲーム

 

 

マルウェアは、「SimCityCrake.exe」 と 「mscsvc.dll」 の2つのファイルで構成されています。

「SimCityCrake.exe」　を実行すると、「mscsvc.dll」 ファイルを 「mssyssrv.exe」 でWindowsのフォルダにコピーし、下記のように 「Microsoft Windows System Service」 という名前でサービスに登録します。
 

[図 2] サービスに登録されたマルウェア

 

 

mscsvc.dll ファイルの内部コードを見ると、IRC Bot 機能が動作すると予測できます。
 

[図 3] mscsvc.dllの IRC 機能コード

 

 

実際にサービスに登録されたプロセスは、日本に位置する IRCで構成されたC＆Cサーバーに接続した後、継続的にコマンドを受信します。下記のようにサーバーに接続しようとしていることが確認できます。
 

[図 4] C&Cサーバーに接続されたシステム

 

[図 5] 日本に位置するC&Cサーバー
 

 

[図 6] C&Cサーバーと通信過程

 

 

AhnLab　V3 製品群では、次の名前で検出・駆除します。

Win-Trojan/Ircbot.108032