・実行時、以下のファイルをドロップ（作成）します。
- %SYSTEMDRIVE%\RECYCLER\S-1-5-21-1708537768-606747145-725345543-500\$698a2431bf10457d451afdf8d202d9b0\@[ZeroAccess.b!envという名前で検出]
- %SYSTEMDRIVE%\RECYCLER\S-1-5-21-1708537768-606747145-725345543-500\$698a2431bf10457d451afdf8d202d9b0\n.[ZeroAccess.b!envという名前で検出]
- %SYSTEMDRIVE%\RECYCLER\S-1-5-18\$698a2431bf10457d451afdf8d202d9b0\@[ZeroAccess.b!envという名前で検出]
- %SYSTEMDRIVE%\RECYCLER\S-1-5-18\$698a2431bf10457d451afdf8d202d9b0\n. [ZeroAccess.b!envという名前で検出]
- %AppData%\Microsoft\Windows\UsrClass.dat.LOG
・次に、dllファイルである「n」がservices.exe、explorer.exeに挿入されます。
・ZeroAccess.hrの複数のインスタンスが作成されるのを防ぐため、「SHIMLIB_LOG_MUTEX」という名前のMutexを作成します。
・以下のIPアドレスに接続しようとします。
- 10.2[削除]55
- 101.6[削除]50
- 109.5[削除]47
- 115.2[削除]54
- 117.2[削除]54
- 134.2[削除]54
- 135.2[削除]54
- 142.1[削除]5
- 173.1[削除]47
- 173.3[削除]3
- 180.2[削除]54
- 182.2[削除]54
- 190.2[削除]54
- 194.1[削除]3
- 206.2[削除]54
- 212.2[削除]54
- 213.2[削除]54
- 222.2[削除]54
- 24.1[削除]50
- 24.1[削除]51
- 24.9[削除]51
- 31.1[削除]80
- 31.1[削除]20
- 31.1[削除]01
- 46.1[削除]9
- 50.2[削除]0
- 66.8[削除]34
- 68.2[削除]46
- 68.3[削除]0
- 68.5[削除]1
- 68.5[削除]48
- 71.1[削除]1
- 71.2[削除]5
- 71.2[削除]54
- 72.2[削除]53
- 75.1[削除]50
- 76.1[削除]46
- 77.2[削除]50
- 81.1[削除]8
- 82.4[削除]5
- 87.2[削除]54
- 88.2[削除]54
- 91.2[削除]47
- 92.2[削除]54
- 98.2[削除]47
・以下のレジストリキーが作成されます。
- HKEY_USERS\S-1-5-{不定}-500\Software\Classes\clsid
- HKEY_USERS\S-1-5-{不定}-500\Software\Classes\clsid\{GUI}
- HKEY_USERS\S-1-5-{不定}-500\Software\Classes\clsid\{GUI}\InprocServer32
- HKEY_USERS\S-1-5-{不定}-500_Classes\clsid
- HKEY_USERS\S-1-5-{不定}-500_Classes\clsid\{GUI}
- HKEY_USERS\S-1-5-{不定}-500_Classes\clsid\{GUI}\InprocServer32
・以下のレジストリの値が追加されます。
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SharedAccess\DeleteFlag: 0x00000001
- HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\DeleteFlag: 0x00000001
- HKEY_USERS\S-1-5-{不定}-500\Software\Classes\clsid\{GUI}\InprocServer32\ThreadingModel: "Both"
- HKEY_USERS\S-1-5-{不定}-500\Software\Classes\clsid\{GUI}\InprocServer32\: "%systemdrive%\RECYCLER\S-1-5-{不定}-500\$698a2431bf10457d451afdf8d202d9b0\n."
- HKEY_USERS\S-1-5-{不定}-500_Classes\clsid\{GUI}\InprocServer32\ThreadingModel: "Both"
- HKEY_USERS\S-1-5-{不定}-500_Classes\clsid\{GUI}\InprocServer32\: "%systemdrive%\RECYCLER\S-1-5-{不定}-500\$698a2431bf10457d451afdf8d202d9b0\n."
・以下のレジストリの値が改変されます。
- HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{5839FCA9-7{不定}7F}\InprocServer32\: "%systemdrive%\RECYCLER\S-1-5-18\$698a2431bf10457d451afdf8d202d9b0\n."
・上記のレジストリにより、WMIと呼ばれるWindowsのコアマネジメントの一部である「wbemess.dll」の代わりにZeroAccess.hrがロードされるようにします。
- HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Prefetcher\TracesProcessed: 0x0000000A
- HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Prefetcher\TracesSuccessful: 0x00000006
- HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ProfileList\S-1-5-19\RefCount: 0x00000001
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SharedAccess\ErrorControl: 0x00000000
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SharedAccess\Start: 0x00000004
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SharedAccess\Enum\Count: 0x00000000
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SharedAccess\Enum\NextInstance: 0x00000000
- HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\ErrorControl: 0x00000000
- HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Start: 0x00000004
- HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Enum\Count: 0x00000000
- HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Enum\NextInstance: 0x00000000
・以下のレジストリキーが削除されます。
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_SHAREDACCESS\0000\Control
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_WSCSVC\0000\Control
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SharedAccess\Parameters
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile\AuthorizedApplications\List
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SharedAccess\Setup\InterfacesUnfirewalledAtUpdate
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\wscsvc
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\wscsvc\Parameters
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\wscsvc\Security
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\wscsvc\Enum
- HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_SHAREDACCESS\0000\Control
- HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_WSCSVC\0000\Control
- HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile\AuthorizedApplications\List
- HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List
- HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Setup\InterfacesUnfirewalledAtUpdate
- HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wscsvc
- HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wscsvc\Parameters
- HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wscsvc\Security
- HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wscsvc\Enum
・以下のレジストリの値が削除されます。
- HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\Windows Defender:” %systemdrive%\Program Files\Windows Defender\MSASCui.exe”
・ZeroAccess.hrはシステムにインストールされているセキュリティソフトウェアに関連するレジストリキーを削除します。
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_SHAREDACCESS\0000\Control\ActiveService: "SharedAccess"
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_SHAREDACCESS\0000\Service: "SharedAccess"
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_SHAREDACCESS\0000\Legacy: 0x00000001
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_SHAREDACCESS\0000\ConfigFlags: 0x00000020
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_SHAREDACCESS\0000\Class: "LegacyDriver"
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_SHAREDACCESS\0000\ClassGUID: "{GUI}"
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_SHAREDACCESS\0000\DeviceDesc: "Windows Firewall/Internet Connection Sharing (ICS)"
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_SHAREDACCESS\NextInstance: 0x00000001
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_WSCSVC\0000\Control\ActiveService: "wscsvc"
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_WSCSVC\0000\Service: "wscsvc"
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_WSCSVC\0000\Legacy: 0x00000001
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_WSCSVC\0000\ConfigFlags: 0x00000020
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_WSCSVC\0000\Class: "LegacyDriver"
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_WSCSVC\0000\ClassGUID: "{GUI}"
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_WSCSVC\0000\DeviceDesc: "Security Center"
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_WSCSVC\NextInstance: 0x00000001
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SharedAccess\Epoch\Epoch: 0x00000046
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile\AuthorizedApplications\List\%windir%\system32\sessmgr.exe: "%windir%\system32\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019"
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List\%windir%\system32\sessmgr.exe: "%windir%\system32\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019"
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\EnableFirewall: 0x00000001
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\ServiceDll: "%SystemRoot%\System32\ipnathlp.dll"
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SharedAccess\Setup\InterfacesUnfirewalledAtUpdate\All: 0x00000001
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SharedAccess\Setup\ServiceUpgrade: 0x00000001
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SharedAccess\Enum\0: "Root\LEGACY_SHAREDACCESS\0000"
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\wscsvc\Enum\0: "Root\LEGACY_WSCSVC\0000"
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\wscsvc\Enum\Count: 0x00000001
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\wscsvc\Enum\NextInstance: 0x00000001
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\wscsvc\Parameters\ServiceDll: "%SYSTEMROOT%\system32\wscsvc.dll"
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\wscsvc\Type: 0x00000020
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\wscsvc\Start: 0x00000002
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\wscsvc\ErrorControl: 0x00000001
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\wscsvc\ImagePath: "%SystemRoot%\System32\svchost.exe -k netsvcs"
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\wscsvc\DisplayName: "Security Center"
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\wscsvc\DependOnService: 'RpcSs winmgmt'
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\wscsvc\ObjectName: "LocalSystem"
- HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\wscsvc\Description: "Monitors system security settings and configurations."
- HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_SHAREDACCESS\0000\Control\ActiveService: "SharedAccess"
- HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_SHAREDACCESS\0000\Service: "SharedAccess"
- HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_SHAREDACCESS\0000\Legacy: 0x00000001
- HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_SHAREDACCESS\0000\ConfigFlags: 0x00000020
- HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_SHAREDACCESS\0000\Class: "LegacyDriver"
- HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_SHAREDACCESS\0000\ClassGUID: "{GUI}"
- HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_SHAREDACCESS\0000\DeviceDesc: "Windows Firewall/Internet Connection Sharing (ICS)"
- HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_SHAREDACCESS\NextInstance: 0x00000001
- HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_WSCSVC\0000\Control\ActiveService: "wscsvc"
- HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_WSCSVC\0000\Service: "wscsvc"
- HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_WSCSVC\0000\Legacy: 0x00000001
- HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_WSCSVC\0000\ConfigFlags: 0x00000020
- HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_WSCSVC\0000\Class: "LegacyDriver"
- HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_WSCSVC\0000\ClassGUID: "{GUI}"
- HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_WSCSVC\0000\DeviceDesc: "Security Center"
- HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_WSCSVC\NextInstance: 0x00000001
- HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Epoch\Epoch: 0x00000046
- HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile\AuthorizedApplications\List\%windir%\system32\sessmgr.exe: "%windir%\system32\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019"
- HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List\%windir%\system32\sessmgr.exe: "%windir%\system32\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019"
- HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\EnableFirewall: 0x00000001
- HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\ServiceDll: "%SystemRoot%\System32\ipnathlp.dll"
- HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Setup\InterfacesUnfirewalledAtUpdate\All: 0x00000001
- HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Setup\ServiceUpgrade: 0x00000001
- HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Enum\0: "Root\LEGACY_SHAREDACCESS\0000"
- HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wscsvc\Enum\0: "Root\LEGACY_WSCSVC\0000"
- HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wscsvc\Enum\Count: 0x00000001
- HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wscsvc\Enum\NextInstance: 0x00000001
- HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wscsvc\Parameters\ServiceDll: "%SYSTEMROOT%\system32\wscsvc.dll"
- HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wscsvc\Type: 0x00000020
- HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wscsvc\Start: 0x00000002
- HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wscsvc\ErrorControl: 0x00000001
- HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wscsvc\ImagePath: "%SystemRoot%\System32\svchost.exe -k netsvcs"
- HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wscsvc\DisplayName: "Security Center"
- HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wscsvc\DependOnService: 'RpcSs winmgmt'
- HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wscsvc\ObjectName: "LocalSystem"
- HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wscsvc\Description: "Monitors system security settings and configurations."
・Windows 7およびVistaでは、services.exeに存在する704バイトの「ScRegisterTCPEndpoint」関数に悪質なコードを上書きします。
・上記の画像により、services.exeの関数を上書きします。
NTFSレコードの拡張属性に悪質なコンテンツを格納します。
・上記の画像はNTFSの拡張属性です。
感染した「services.exe」がロードされると、悪質なコードは実際に悪質なコードが存在する拡張属性を読み取ります。
・上記の画像には、EAのハッシュをチェックしてロードする関数が表示されています。
また、Windowsが同じアドレスでservices.exeをロードさせるASLR機能をservices.exeから取り除きます。
・上記の画像にはASLRが表示されていません。
