Backdoor.Win32.IRCBOT.SMDA1

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、タスクマネージャやレジストリエディタ、フォルダオプションを無効にします。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスを追加します。

• reg.exe import %Windows%\regedit.reg
• reg.exe export HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\srservice %Windows%\regedit.reg
• winzip32.exe -min -a -en -r "%System Root%\Users\Public\Music\angle.Zip" "%System Root%\Users\Public\Music\angle.eXe"
• rar.exe a -ao -ep "%System Root%\Users\Public\Music\angle.Zip" "%System Root%\Users\Public\Music\angle.eXe"
• %System Root%\Users\Public\Pictures\svchost.eXe
• %System Root%\Users\Public\Music\svchost.eXe
• %All Users Profile%\Microsoft\Windows\Start Menu\Programs\Startup\msmsgs.eXe
• %System%\angle.eXe

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.. %System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.. %All Users Profile%フォルダは、ユーザの共通プロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\All Users” です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData” です。. %System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

他のシステム変更

マルウェアは、以下のファイルを改変します。

• %System Root%\Users\Public\Music\RCX1812.tmp
• %System Root%\Users\Public\Pictures\RCXCA21.tmp
• F:\data\RCXA565.tmp
• %Windows%\RCX162E.tmp
• %System Root%\Users\Public\Music\RCX3DFA.tmp
• %System Root%\Users\Public\Music\RCXCB0C.tmp
• %System Root%\Users\Public\Music\RCX167E.tmp
• %System Root%\Users\Public\Music\RCXCCC4.tmp
• F:\RCXA602.tmp
• %Windows%\RCX15F0.tmp
• %System Root%\Users\Public\Pictures\RCX1366.tmp
• %Windows%\RCXEBC9.tmp
• %Windows%\RCX3D9B.tmp
• %System Root%\Users\Public\Pictures\RCX1432.tmp
• %Windows%\RCXCB5B.tmp

(註：%System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.. %Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Policies\
Microsoft\Windows\System
DisableCMD = "2"

マルウェアは、以下のレジストリ値を変更します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
Hidden = "2"

(註：変更前の上記レジストリ値は、「2」となります。)

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
HideFileExt = "1"

(註：変更前の上記レジストリ値は、「1」となります。)

マルウェアは、以下のレジストリ値を追加し、タスクマネージャやレジストリエディタ、フォルダオプションを無効にします。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
Explorer
NoSetFolders = "1"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
System
DisableRegistryTools = "2"

作成活動

マルウェアは、以下のファイルを作成します。

• F:\mail_client'.eXe
• %System Root%\Users\Public\Music\RCX3DFA.tmp
• F:\~angle.eXe
• %System Root%\Users\Public\Music\RCXCCC4.tmp
• F:\wlines.eXe
• F:\data\~data.exe
• F:\data\photos\~photos.exe
• %Windows%\RCX162E.tmp
• %System Root%\Users\Public\Music\svchost.eXe
• %System Root%\Users\Public\Music\RCX167E.tmp
• F:\RCXA602.tmp
• %Windows%\RCX15F0.tmp
• %System Root%\Users\Public\Pictures\RCX1366.tmp
• %Windows%\RCXEBC9.tmp
• %Windows%\ziprar.eXe
• F:\data\photos\long_exposure.eXe
• %System Root%\Users\Public\Music\RCX1812.tmp
• %Windows%\svchost.eXe
• F:\data\photos\stunning.eXe
• %System Root%\Users\Public\Music\RCXCB0C.tmp
• %System Root%\Users\Public\Pictures\iexplore.eXe
• %System%\RCX167D.tmp
• %System Root%\Surat Buat Presiden.htm
• %System%\angle.eXe
• %System Root%\Users\Public\Pictures\RCX1432.tmp
• %Windows%\RCXCB5B.tmp
• %System Root%\Users\Public\Pictures\wmplayer.eXe
• %System Root%\Users\Public\Pictures\svchost.eXe
• %System Root%\Users\Public\Pictures\RCXCA21.tmp
• F:\data\RCXA565.tmp
• F:\data\WinLines'.eXe
• %System%\RCX162F.tmp
• %Windows%\RCX3D9B.tmp
• %System%\RCXCB8B.tmp
• %System Root%\Users\Public\Music\angle.eXe
• %System Root%\Users\Public\Pictures\jpg.eXe
• %All Users Profile%\Microsoft\Windows\Start Menu\Programs\Startup\msmsgs.eXe

(註：%System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.. %Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.. %System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.. %All Users Profile%フォルダは、ユーザの共通プロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\All Users” です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData” です。)

このウイルス情報は、自動解析システムにより作成されました。