Video Screencast Help

NTFS の EA に隠された Trojan.Zeroaccess.C

Created: 15 Aug 2012 10:14:42 GMT • Translations available: English
Mircea Ciubotariu's picture
0 0 Votes
Login to vote

Zeroaccess Trojan(Trojan.Zeroaccess.C)の最新の亜種がその悪質な内容を格納する手口は画期的で、NT ファイルシステムに用意されている、拡張属性(EA)という機能を悪用しています。

Trojan.Zeroaccess.C 以前からマルウェアの作成者は、ファイルシステムに装備されている特別な API を利用して悪質な意図を隠す新たな方法を探し続けていました。よく知られているのは、ADS(代替データストリーム)と EFS(暗号化ファイルシステム)を使う手法です。

Trojan.Zeroaccess.C は、悪質なペイロードをファイル %System%\services.exe の EA データに書き込むときに ZwSetEaFile を使い、それを取得して実行するときに ZwQueryEaFile を使います。Trojan.Zeroaccess.C のコードは、元の初期化コードの一部を上書きすることによって、EA データを直接 services.exe ファイルに読み込んで実行するようにパッチが適用されています。
 


 

ZwQueryEaFile は、次の図のように悪質なペイロードを含む FILE_FULL_EA_INFORMATION 構造を返します。
 


 

ここで注意が必要なのは、元のコードが脅威によって永続的に上書きされてしまっているため、感染したシステムファイル(services.exe)に本来備わっているはずの情報で自動的に修復することはできず、ユーザーは正常なバックアップから手動でファイルを復元するしかない、という点です。Windows Vista 以降のバージョンの Windows には、ファイルを右クリックして[以前のバージョンの復元]を選択してファイルを以前のバージョンに復元できるオプションが追加されており、復元が以前より簡単になっています。

シマンテック製品は、このように感染した services.exe を Trojan.Zeroaccess!inf4 として検出します。

他の NTFS 機能と同様、EA にアクセスするには特別な API が必要なので、マルウェアの作成者はウイルス対策製品が EA をサポートしていないことを期待してこれらの手口を採用します。そのため、ペイロードは長い期間、機能し続けるのです。

Trojan.Zeroaccess.C は、EA を使うことで多様性をめぐる競争に新たな地歩を獲得しています。新しいバージョンはルートキットコンポーネントを持たなくなり、x86(32 ビット)と x64(64 ビット)両方のバージョンの services.exe ファイルに感染します。

Zeroaccess はこれまでも一貫して、悪質な挑戦を続けるように新たな手口を繰り出してきましたが、ウイルス対策の業界は迅速に対処し、新しい技術で対応しています。

 

* 日本語版セキュリティレスポンスブログの RSS フィードを購読するには、http://www.symantec.com/connect/ja/item-feeds/blog/2261/feed/all/ja にアクセスしてください。