迷惑メールを送信するマルウェア

 

本レポートは、アンラボコリアより発表された内容を翻訳したものです。

----------------------------------------------------------------------------------------------

 

 

最近、迷惑メールを送信するマルウェアが一部の企業で発見され、注意が必要である。

 

当該マルウェアが実行されると、正常な実行のための関数の復旧を行った後、[図１]のようにマルウェア内部に隠れているPEファイルを復号化する。

 

 

 
 

[図1] PEファイルの復号化(１回目)

 

 

 

復旧されたPEファイルは、WriteProcessMemory作業を通じてメモリに使用される。
また、当該マルウェアは、[図2]の経路に自らをコピーし、再起動時に再び動作するようにレジストリに登録する。

 

 

 

 

 
 

[図２] ファイルの生成およびレジストリの登録
 

 

 

 

 

ファイルの生成が終わると、隠れているPEファイルに対する復号化を再度行う。

 

 

 
 

[図３] PEファイルの復号化(２回目)

 

 

 

１回目の復号化されたPEファイルはメモリに使用し、２回目の復号化されたPEファイルは、svchost.exeを利用してロードする。
ロード時にはsvchost.exeをSUSPEND TYPEで生成し、GetContextThread、ReadProcessMemory、WriteProcessMemory、SetThreadContext、ResumeThread関数を通じて復号化されたPEコードを上書きする。

 

 

 
 

[図４] svchost.exeプロセスをSUSPENED TYPEで生成

 

 

 

 

上記の作業を行うことで、最初のマルウェアが終了しても、svchost.exeに使用されたコードにより、継続的に悪性行為が行われるようになる。
svchost.exeにロードされたマルウェアはC&Cサーバーと通信してコマンドを受け、迷惑メールを送信する役割をする。
この際、パケットは暗号化され、その都度異なるキーが使用される。

 

 

 
 

[図５] (左)暗号化されたパケット / (右)復号化されたパケット

 

 

 

サーバーから受けるコマンドのうち、現在確認されている内容は[表１]の通りである。

 

 

 
 

[表１] 確認されたコマンド

 

 

 

当該マルウェアは、メモリにロード・実行されるため、最初のマルウェアを削除しても、感染症状が継続的に現れる場合がある。
特定のPCから急に異常なSMTPパケットが発生した場合は、迷惑メールを送信するマルウェアに感染している恐れがあるため、確認が必要である。

 

 

 

 

■ AhnLabのV3製品群では、次のように検知・駆除することが可能である。

Dropper/Win32.Zbot (AhnLab, 2014.09.18.00)