●● RMT業者の垢ハックが多発している件28 ●●より。
スレ住人の皆様に感謝。
653 ：既にその名前は使われています：2008/07/14(月) 01:19:53 ID:*****
★wuauserv.dllがwzcsvbxm.dllに改ざんされていた件 暫定まとめ改訂案(推敲よろしゅー)
wuauserv.dll(ウィンドウスアップデートに使われるダイナミックリンクライブラリ)のレジストリを、正規のプロセスC:WINDOWSSystem32svchost.exeを使って罠サイトへパスを送るwzcsvbxm.dllに書き換える。
ファイルからではなくプロセスをフックしてメモリからパスを送信。送信経路はhttp。
(レジストリの不正更新もあるにもかかわらず)ほとんどのセキュリティソフトは未検知。
7/13付けで検体爆撃済み かたじけのうござる。
判明している送信先(置き換えではなく●を単純に削る)
引退：wowint●erfcae.com 204.13.6●4.0 - 204.13.71.255
現役：googlesy●dition.com 74.86.1●85.101
【%SystemRoot%System32wzcsvbxm.dllを探す方法。】
スタート→ファイル名を指定して実行→regedit
HKEY_LOCAL_MACHINE→SYSTEM→ControlSetxxx（xxxは数字）Services→wuauserv→Parametersと
HKEY_LOCAL_MACHINE→SYSTEM→CurrentControlSet→Services→wuauserv→Parametersの中の「ServiceDll」→「REG_EXPAND_SZ(種類)」の「データ」を確認
C:WINDOWSsystem32wuauserv.dllならそのままクローズ(この件の感染はしていない)
C:WINDOWSsystem32wzcsvbxm.dllなど上記以外のファイルが登録されていた場合、感染している可能性が極めて大 まず安全な環境でパス変更 wzcsvbxm.dllをwuauserv.dllに書き換えられるなら書き換え 等の対策をする。
ただし すぐに戻ってしまう報告もあるため 修正後要確認。
本体(生成元)および感染ルートは現状不明なため、上記の修正をしたとしても完全に駆除されているか分かりませんので、感染が確認された場合は『クリーンインストール推奨』。
現在、カスペルスキーでは検知できるようになっているそうですが、Windowsシステムファイルのふりをしているのでそのままでは駆除できないようです。
・駆除にはセーフモードでの起動→レジストリ変更といった手順が必要になるので、Windowsについての知識がない人がうかつに手を出すと、最悪の場合システム起動不能といった事態が想定される
・上記の手順をとってもなお完全に駆除しきれない可能性が残る
という2つの理由から、「感染が確認できたらクリーンインストール」を強くおすすめします。
※10:30追記 スレの暫定まとめ更新（挙動回りを若干修正）
728 名前：既にその名前は使われています[] 投稿日：2008/07/14(月) 10:13:14 ID:******
★wuauserv.dllがwzcsvbxm.dllに改ざんされていた件 現状まとめ(>>653の挙動周り修正)
【レジストリ】
WindowsUpdateで使用するAutomaticUpdatesサービスのエントリを改竄する。
・キー位置
HKEY_LOCAL_MACHINE\SYSTEM\ControlSetxxx（xxxは数字）\Services\wuauserv\Parameters
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wuauserv\Parameters
・感染時エントリ（値）
%SystemRoot%\system32\wzcsvbxm.dll （未感染Windowsでは%SystemRoot%\system32\wuauserv.dll）
wzcsvbxm.dllはAutomaticUpdatesサービスとしてOS起動時に常駐すると考えられる。
エントリを書き換えた場合、常駐しているwzcsvbxm.dllが再度書き戻しにくるようだ。
【POL】
wzcsvbxm.dllはAutomaticUpdatesサービスとして常駐しているwzcsvbxm.dllはsvchost(wuauser)としてPOLのプロセスに介入し処理を乗っ取る。
svchost(wuauser)の介入がなされた時点でPOLの接続先が□e鯖から業者鯖に変更されていると考えられる。
乗っ取ったPOLのプロセスを使用して業者鯖にID/PASSを送信する。送信後異常終了？
そのため、ファイアヲールなどでPOLの接続ルールをアプリケーション単位で許可している場合は検知は難しい。
現時点で確認されている送信先(置き換えではなく●を単純に削る)
・wowint●erfcae.com 204.13.6●4.0 - 204.13.71.255
・ooglesy●dition.com 74.86.1●85.101
＊↑ooglesy →googlesy が正しいです。
（おそらく元記事を上げた方がコピーする時に落ちたのだと思います）
PR
