Backdoor.Win32.NANOCORE.TIAOODFO

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスを追加します。

• %User Profile%\m6441r9539\ifkm.exe qdonuuxca.doo
• "%Windows%\SysWOW64\mshta.exe"
• %Windows%\SysWOW64\mshta.exe

(註：%User Profile%フォルダは、現在ログオンしているユーザのプロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞" です。. %Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

マルウェアは、以下のフォルダを作成します。

• %User Profile%\m6441r9539
• %User Profile%\temp
• %System Root%\Users

(註：%User Profile%フォルダは、現在ログオンしているユーザのプロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞" です。. %System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\RunOnce
m6441r9539 = "%User Profile%\m6441r9539\start.vbs"

マルウェアは、Windows起動時に自動実行されるよう＜User Startup＞フォルダ内に以下のファイルを作成します。

• %User Startup%\start.lnk

(註：%User Startup%フォルダは、現在ログオンしているユーザのスタートアップフォルダです。Windows 98およびMEの場合、通常 "C:\Windows\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows NTの場合、通常 "C:\WINNT\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows 2003(32-bit)、XP、2000(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows Vista、7、8、 8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup" です。)

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
Microsoft\Windows\CurrentVersion\
Run
WindowsUpdate = "%User Profile%\M6441R~1\ifkm.exe %User Profile%\M6441R~1\QDONUU~1.DOO"

作成活動

マルウェアは、以下のファイルを作成します。

• %User Profile%\temp\kiwlxwoow.dat
• %User Profile%\m6441r9539\ietvmhkpwb.txt
• %User Profile%\m6441r9539\dpdhl.txt
• %User Profile%\m6441r9539\kiwlxwoow.dat
• %User Profile%\m6441r9539\start.cmd
• %User Profile%\m6441r9539\okxk.icm
• %User Profile%\m6441r9539\iujd.dll
• %User Profile%\m6441r9539\rrheanasdb.docx
• %User Profile%\m6441r9539\iuqejabi.msc
• %User Profile%\m6441r9539\start.vbs
• %User Temp%\RegSvcs.exe
• %User Profile%\m6441r9539\likuarqwog.bin
• %User Profile%\m6441r9539\lcpqehcc.icm
• %User Profile%\m6441r9539\ihavpsi.msc
• %User Profile%\m6441r9539\btbspagvbk.cpl
• %User Profile%\m6441r9539\laotrtnxlo.ppt
• %User Profile%\m6441r9539\ajhng.msc
• %User Profile%\m6441r9539\ifkm.exe
• %User Profile%\m6441r9539\vfljdk.vbe
• %User Profile%\m6441r9539\jfqjwc.jpg
• %User Profile%\m6441r9539\nwodha.cpl
• %User Profile%\m6441r9539\hmms.icm
• %User Profile%\m6441r9539\qdonuuxca.doo
• %User Profile%\m6441r9539\hmrinlpk.pdf
• %User Profile%\m6441r9539\faran.pdf
• %User Profile%\m6441r9539\fvfi.nls
• %User Profile%\m6441r9539\ohltufbcp.ppt
• %User Profile%\m6441r9539\fngxkem.ppt
• %User Profile%\m6441r9539\ndci.xl

(註：%User Profile%フォルダは、現在ログオンしているユーザのプロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞" です。. %User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

このウイルス情報は、自動解析システムにより作成されました。