Backdoor.VBS.YNOGA.A

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、感染コンピュータ上の特定の情報を収集します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下の名前を用いて自身のコピーを作成します。

• %Common Startup%\{25 Random Characters}.vbs
• %Application Data%\g_{25 Random Characters}.vbs_w.vbs
• %Application Data%\{25 Random Characters}.vbs
• %Application Data%\1192431963351_log.txt

(註：%Common Startup%フォルダは、すべてのユーザのスタートアップフォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\All Users\Start Menu\Programs\Startup" です。また、Windows Vista、7、8の場合、通常 "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup" です。. %Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
Explorer\Run
{25 Random Characters} = wscript.exe //B "%Application Data%\{25 Random Characters}.vbs

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Run
{25 Random Characters} = wscript.exe //B "%Application Data%\{25 Random Characters}.vbs

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{25 Random Characters}.vbs = wscript.exe //B "%Application Data%\{25 Random characters}.vbs

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
Shell = explorer.exe, wscript.exe //B "%Application Data%\{25 Random Characters}.vbs

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software
ASPC = {25 Random Characters}

バックドア活動

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• http://{BLOCKED}.{BLOCKED}.12.175/gate.php?

情報漏えい

マルウェアは、感染コンピュータ上の以下の情報を収集します。

• HWID
• Computer Name
• User name
• Product Name
• OS Version
• AV Products
• Ram Size
• CPU
• GPU

その他

以下のスケジュールされたタスクを追加します：

• Task Name: ChromeUpdate
  • Trigger: ONLOGON
• Action: "%Application Data%\{25 Random Characters}.vbs" /F

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)