Worm.Win32.Fipp

ホストシステムに感染中：

• マルウェアが初めて実行されると、

   ％system32％wmicuclt.exeおよび％system32％wscript.exe 

  。検出された場合は、最後のファイルセクションにマルウェア部分を追加して元のファイルを感染させます（以下の感染方法を参照）。

• リモートアクセス接続サービスを作成します。

  
  
  
  HKLMSystemControlSetServices（および他のControlSets）。 

  "ImagePath"文字列は％system32％wmicuclt.exeの感染ファイルを指します。

• HKLMSystemSelectの下に新しい値を作成します。値の名前は "rtm"または "v"です。 HKLMSystemSelectは、ブート情報を格納するためにWindows OSで使用されます。 OSローダは、OSのロード中にCurrent / Default / failed / LastKnownGoodブート設定を読み込みます。マルウェアは、この場所に自身またはウイルス固有のデータを格納するためにレジストリキーを使用します。
• コードを

   SVCHOST.EXE、LSASS.EXE 

• 次のフォルダへの感染を避ける：

   「Windows」、「winnt」、「s」、「qq」、「Outlook」、「システムボリューム情報」、 
  
  
  
  「Recycler」、「InternetExplorer」、「Messenger」、 
  
  
  
  "一般的なファイル" 

• ホストシステムにWOW64、SQSh、Srhのアクセスパラメータがインストールされている場合はそれを探します。
• リモートセッションが感染したホストに検出された場合、Windowsクライアントコマンド " tsclient $ c"を実行してリモートドライブにアクセスしようとし、* .exeファイルに感染します。その結果、接続するホストも感染します。
• リモートホスト上のファイルに感染する

  
  
  
   "admin $" system32wmicuclt.exe、 
  
  
  
   "admin $" system32wscript.exe
  
  
  
  

• remotehostipc $経由でリモートドライブをマップする

リモートURL：

• ワームは、ウェブサイト名の "ppift"、 "ppns"部分文字列を含むURLに接続できます。

ファイルに感染すると、次のことが行われます。

• 感染したコンピュータ上の共有フォルダを検索し、見つかったすべての* .exeファイルを感染させます。
• 共有フォルダーへのアクセスにユーザー資格情報が必要な場合は、ユーザーアカウントとパスワードを強要しようとします。これらはいくつかの変形例です：

   "admin" / "678"、 "admin" / "1qaz2wsx"、 "user" / "1"、 "test" / "1" 
  
  
  
  "テスト" / "321" 

  およびアカウントやパスワードの他の単純なパスワードの組み合わせ

   "1234"、 "56"、 "qwert"、 "letmein"、 "secret"、 "rockyou"、 "iloveyou" 
  
  
  
  "root"、 "super"、 "princess"、 "alpha"、 "Patrick"、 "temp" 
  
  
  
  "P @ ssW0rd" 

  。他の多くの話題の言葉。

• ファイルに感染すると、元のホストファイルの最後、ファイルの最後のセクションに自身を追加します。ファイルの先頭から0x28hのオフセットに "PPIF"キーワードを書き込むことによってファイルのヘッダーを変更します。
• 新しいファイルは元のファイルより47,872バイト大きいです。

AVアプリケーションをどのように無効にするか

• 感染したホスト上で実行されると、プロセス名に次の単語を含むプロセスが検索されます。

   "F-Secure"、 "IKARUS-GuardX"、 "360sd"、 "360Tray"、 "WP"、 "ShStatEx" 
  
  
  
  「Sophos AutoUpdate Monitor」、「AVP」、「AVG_TRAY」、「egui」、 
  
  
  
  "Gデータアンチウィルス"、 "BitDefender AntiVirus"、
  
  
  
  「Trendeマイクロクライアントフレームワーク」、「kxesc」、「avgnt」、 
  
  
  
  "RAvTray"、 "DWIN"; 

• 検出された場合、レジストリエントリを検索し、削除して直ちにシステムを再起動します。再起動後、サービスエントリがないため、AV製品を起動できなくなります。