☰

themeapiport は何をしますか?

tag-icon • tag-icon malware
themeapiport は何をしますか?

マルウェア分析サービスのレポートで、分析されたファイルに関して次のような内容を見つけました。

Connects to LPC ports

details: "<Input Sample>" connecting to "\ThemeApiPort"
source: API Call

これはどういう意味ですか? \ThemeApiPort とは何ですか?

答え1

\ThemeApiPort とは何ですか?

\ThemeApiPort?プロセス間通信に使用される LPC ポートです。この場合は、Windows XP でテーマ管理を提供するために使用されます。

LPC (Local Procedure Call) は、プロセス間の通信 (IPC) に使用される Microsoft Windows カーネル コンポーネントです。この文書化されていないインターフェイスは、既知の Windows API のバックグラウンドで使用されます。ほとんどのシステム コンポーネントは、LPC インターフェイスを使用して、低レベルのセキュリティ プログラムと通信します。

ソースLPC および ALPC インターフェイスを介した Windows 権限の昇格（pdf）。

上記の論文では、LPC および ALPC インターフェースに関連する権限昇格の脆弱性が特定されています。

(A)LPC インターフェイスは、Windows NT の文書化されていないネイティブ API の一部であり、アプリケーションで直接使用することはできません。ただし、次の場合には間接的に使用できます。

  • Microsoft RPC APIを使用してローカル通信する場合、つまり同じマシン上のプロセス間で通信する場合
  • (A)LPCで実装されたWindows APIを呼び出すことによって

ソースローカルプロセス間通信 - Wikipedia

脆弱性を利用して\ThemeApiPortWindows プロセスにコードを挿入するウイルスがいくつかあります。次に例を示します。

TR/スパイ.1350396

注射 >%WINDIR%\System32\svchost.exe{<-\ThemeApiPort}

ソースTR/Spy.1350396 - Avira ウイルス ラボ

関連情報