セキュリティ製品を無力化するファーミングマルウェア

 

本レポートは、アンラボコリアより発表された内容を翻訳したものです。

----------------------------------------------------------------------------------------------

 

ユーザーPCにインストールされているセキュリティ製品を無力化するファーミングマルウェアが発見され、注意が必要である。
 

当該マルウェアは、「C:\WINDOWS\system32」経路に「wifiserv32.dll」を生成し、自ら原本ファイルを削除する。
 

「wifiserv32.dll」は、レジストリを通じて「WIFI Support Service」という名前のサービスで登録され、システム開始時に「svchost.exe」にロード・自動実行される。

 

 

[表1] Registry Monitor Information

 

 

 

「wifiserv32.dll」をロードした「svchost.exe」は、セキュリティ製品(V3)の正常な動作を妨害する。
また、C&Cサーバーから「xcnpse.exe」をダウンロードして実行し、「C:\WINDOWS\system32」経路に「V3Serv32.dll」を生成した後、削除される。

 

 

 
 

[図１] C&Cサーバーからダウンロードされる「xcnpse.exe」と「okk.exe」

 

 

 

「V3Serv32.dll」も「wifiserv32.dll」と同様に、レジストリを通じて「V3 Serv」という名前のサービスで登録され、システム開始時に「svchost.exe」にロード・自動実行される。

 

 

 

[表２] Registry Monitor Information

 

 

 

「V3Serv32.dll」をロードした「svchost.exe」は、「C:\Program Files\Common Files\Plugins」経路に「okk.exe」を追加でダウンロードし、当該マルウェアは「C:\WINDOWS\Temp\12.tmp」経路に「encrypt.bat」を生成する。

 

 

 

[表３] 「encrypt.bat」の実行コマンド

 

 

 

「encrypt.bat」は[表３]のように、「C:\Windows\System32\drivers\etc」経路内の「hosts」、「hosts.ics」ファイルの内容を改ざんし、隠しファイルとして設定する。

当該マルウェアは、自らマルウェアを流布する機能はないが、メール、メッセンジャー、掲示板などを通じてダウンロード・実行される可能性があり、ユーザーPCからポータルサイトおよび金融サイトへの正常なアクセスを妨害する。

ユーザーは、当該マルウェアによる被害を防止するため、不明なソースからの実行ファイル(EXE、SCRなど)をダウンロードしないように注意しなければならない。

 

 

■ AhnLabのV3製品群では、次のように検知・駆除することが可能である。
Dropper/Win32.Banki (2014.09.04.00)
Trojan/Win32.Banki (2014.09.04.00) 

Trojan/Win32.PcClient (2014.09.04.00)