・W32/FunCash!wormはネットワーク共有を介して拡散するワームです。悪質なDLLをsystem32にドロップ（作成）し、追加のトロイの木馬や悪質なソフトウェアを乗っ取ったマシンにインストールするのに使われる可能性があります。
・さらに、バックドア活動を仕掛け、個人情報やクレジットカードの情報を盗み出す可能性があります。
・実行時、システムプロセスであるsvchost.exeに自身を挿入し、以下のIPアドレスに接続します。
- 63.149.[削除].98 through the remote port 110. (POP3 - Post Office Protocol - Version 3)
- 64.71.[削除].61 through the remote port 700.
・また、以下の場所に以下のファイルをドロップします。
- %windir%\system32\config\systemprofile\Local Settings\Application Data\VMware\hgfs.dat
- %windir%\system32\KB25879.dat
- %windir%\system32\mssscardprv.ax
- %windir%\system32\scardprv.dll
- %windir%\system32\Wmmvsvc.dll
- [リムーバブルドライブ]:\RECYCLER\ S-0-3-61-3331176502-7725285861-041708554-4464\[ランダムな名前].cpl
- [リムーバブルドライブ]:\Autorun.inf
- Copy of Shortcut (1)
・上記のショートカットにより、コントロールパネルへのリダイレクトが作成されます。
・AutoRun.infファイルはW32/FunCash!wormの実行ファイルを指しており、自動実行機能をサポートするマシンからリムーバブルドライブやネットワーク接続されたドライブがアクセスされると、W32/FunCash!wormが自動的に起動します。
・リムーバブルドライブにドロップされるautorun.infファイルの内容は以下のとおりです。
[Autorun]
RmN
・以下の場所にフォルダを作成します。
1. :[リムーバブルドライブ]:\RECYCLER
2. :[リムーバブルドライブ]:\RECYCLER\S-0-3-61-3331176502-7725285861-041708554-4464\
・以下のレジストリキーが追加されます。
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_SCARDPRV
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_SCARDPRV\0000
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_SCARDPRV\0000\Control
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_WMMVSVC
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_WMMVSVC\0000
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_WMMVSVC\0000\Control
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SCardPrv
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SCardPrv\Parameters
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SCardPrv\Security
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SCardPrv\Enum
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Wmmvsvc
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Wmmvsvc\Parameters
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Wmmvsvc\Security
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Wmmvsvc\Enum
・また、以下のレジストリ値がシステムに追加されます。
- HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SvcHost\SCardPrv: 'SCardPrv'
- HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SvcHost\Wmmvsvc: 'Wmmvsvc'
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_SCARDPRV\0000\Control\*NewlyCreated*: 0x00000000
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_SCARDPRV\0000\Control\ActiveService: "SCardPrv"
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_SCARDPRV\0000\
Service = "SCardPrv"
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_SCARDPRV\0000\
Legacy = 0x00000001
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_SCARDPRV\0000\
ConfigFlags = 0x00000000
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_SCARDPRV\0000\
Class = "LegacyDriver"
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_SCARDPRV\0000\
ClassGUID = "{8ECC055D-047F-11D1-A537-0000F8753ED1}"
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_SCARDPRV\0000\
DeviceDesc = "SmartCard Protector"
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_SCARDPRV\
NextInstance = 0x00000001
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_WMMVSVC\0000\Control\*NewlyCreated*: 0x00000000
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_WMMVSVC\0000\Control\ActiveService: "Wmmvsvc"
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_WMMVSVC\0000\
Service = "Wmmvsvc"
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_WMMVSVC\0000\
Legacy = "0x00000001"
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_WMMVSVC\0000\
ConfigFlags = 0x00000000
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_WMMVSVC\0000\
Class = "LegacyDriver"
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_WMMVSVC\0000\ClassGUID = "{8ECC055D-047F-11D1-A537-0000F8753ED1}"
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_WMMVSVC\0000\DeviceDesc = "Windows Media Management Driver Extensions"
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_WMMVSVC\NextInstance = "0x00000001"
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SCardPrv\Enum\0: "Root\LEGACY_SCARDPRV\0000"
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SCardPrv\Enum\Count: 0x00000001
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SCardPrv\Enum\NextInstance: 0x00000001
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SCardPrv\Security\Security: 01 00 14 80 90 00 00 00 9C 00 00 00 14 00 00 00 30 00 00 00 02 00 1C 00 01 00 00 00 02 80 14 00 FF 01 0F 00 01 01 00 00 00 00 00 01 00 00 00 00 02 00 60 00 04 00 00 00 00 00 14 00 FD 01 02 00 01 01 00 00 00 00 00 05 12 00 00 00 00 00 18 00 FF 01 0F 00 01 02 00 00 00 00 00 05 20 00 00 00 20 02 00 00 00 00 14 00 8D 01 02 00 01 01 00 00 00 00 00 05 0B 00 00 00 00 00 18 00 FD 01 02 00 01 02 00 00 00 00 00 05 20 00 00 00 23 02 00 00 01 01 00 00 00 00 00 05 12 00 00 00 01 01 00 00 00 00 00 05 12 00 00 00
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SCardPrv\Parameters\
ServiceDll: "%SystemRoot%\system32\scardprv.dll"
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SCardPrv\
Type = 0x00000020
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SCardPrv\
Start = 0x00000002
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SCardPrv\
ErrorControl = 0x00000001
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SCardPrv\
ImagePath = "%SystemRoot%\system32\svchost.exe -k SCardPrv"
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SCardPrv\
DisplayName = "SmartCard Protector"
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SCardPrv\
ObjectName = "LocalSystem"
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SCardPrv\
Description = "Manages and controls access to a smart card inserted into a smart card reader attached to the computer and protect from others. "
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Wmmvsvc\Enum\0: "Root\LEGACY_WMMVSVC\0000"
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Wmmvsvc\Enum\Count: 0x00000001
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Wmmvsvc\Enum\NextInstance: 0x00000001
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Wmmvsvc\Security\Security: 01 00 14 80 90 00 00 00 9C 00 00 00 14 00 00 00 30 00 00 00 02 00 1C 00 01 00 00 00 02 80 14 00 FF 01 0F 00 01 01 00 00 00 00 00 01 00 00 00 00 02 00 60 00 04 00 00 00 00 00 14 00 FD 01 02 00 01 01 00 00 00 00 00 05 12 00 00 00 00 00 18 00 FF 01 0F 00 01 02 00 00 00 00 00 05 20 00 00 00 20 02 00 00 00 00 14 00 8D 01 02 00 01 01 00 00 00 00 00 05 0B 00 00 00 00 00 18 00 FD 01 02 00 01 02 00 00 00 00 00 05 20 00 00 00 23 02 00 00 01 01 00 00 00 00 00 05 12 00 00 00 01 01 00 00 00 00 00 05 12 00 00 00
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Wmmvsvc\Parameters\ServiceDll: "%SystemRoot%\system32\Wmmvsvc.dll"
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Wmmvsvc\
Type = 0x00000020
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Wmmvsvc\
Start = 0x00000002
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Wmmvsvc\
ErrorControl = 0x00000001
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Wmmvsvc\
ImagePath = "%SystemRoot%\system32\svchost.exe -k Wmmvsvc"
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Wmmvsvc\
DisplayName = "Windows Media Management Driver Extensions"
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Wmmvsvc\
ObjectName = "LocalSystem"
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Wmmvsvc\
Description = "Provides Windows Media management information to and from drivers.
・以下のレジストリ項目により、システムが起動するたびにW32/FunCash!wormが実行されるようにします。
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Wmmvsvc\
ImagePath = "%SystemRoot%\system32\svchost.exe -k Wmmvsvc"
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SCardPrv\
ImagePath = "%SystemRoot%\system32\svchost.exe -k SCardPrv"
・以下のレジストリ値が改変されます。
- HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SchedulingAgent\LastTaskRun: DB 07 0B 00 02 00 16 00 08 00 01 00 01 00 00 00
- HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SchedulingAgent\LastTaskRun: DC 07 07 00 04 00 1A 00 12 00 01 00 01 00 00 00
- HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\ServiceCurrent\: 0x00000012
- HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\ServiceCurrent\: 0x00000014
- HKEY_USER\S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Local AppData: "%systemDrive%:\Documents and Settings\NetworkService\Local Settings\Application Data"
- HKEY_USER\S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Local AppData: "%windir%\system32\config\systemprofile\Local Settings\Application Data"
