Backdoor.Win32.NETWIRED.FAQ

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、タスクマネージャやレジストリエディタ、フォルダオプションを無効にします。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスを追加します。

• "%System%\WScript.exe" "%User Temp%\88451026\sfi.vbs"
• %User Temp%\88451026\sfi.vbs
• "%User Temp%\88451026\llm.exe" kim=nok
• llm.exe kim=nok

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

マルウェアは、以下のフォルダを作成します。

• %User Profile%\AppData
• %System Root%\Users
• %User Temp%\88451026
• %User Profile%\temp

(註：%User Profile%フォルダは、現在ログオンしているユーザのプロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞" です。. %System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.. %User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\RunOnce
88451026 = "%User Temp%\88451026\start.vbs"

マルウェアは、Windows起動時に自動実行されるよう＜User Startup＞フォルダ内に以下のファイルを作成します。

• %User Startup%\start.lnk

(註：%User Startup%フォルダは、現在ログオンしているユーザのスタートアップフォルダです。Windows 98およびMEの場合、通常 "C:\Windows\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows NTの場合、通常 "C:\WINNT\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows 2003(32-bit)、XP、2000(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows Vista、7、8、 8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup" です。)

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
System

マルウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
Microsoft\Windows\CurrentVersion\
Run
WindowsUpdate = "%User Temp%\88451026\llm.exe %User Temp%\88451026\KIM_NO~1"

マルウェアは、以下のレジストリ値を追加し、タスクマネージャやレジストリエディタ、フォルダオプションを無効にします。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
System
DisableTaskMgr = "1"

作成活動

マルウェアは、以下のファイルを作成します。

• %User Temp%\88451026\start.vbs
• %User Temp%\88451026\gpw.xl
• %User Temp%\88451026\pjk.mp3
• %User Temp%\88451026\bhd.ico
• %User Temp%\88451026\cto.bin
• %User Temp%\88451026\aal.icm
• %User Temp%\88451026\grt.xml
• %User Temp%\88451026\xcu.msc
• %User Temp%\88451026\tix.bin
• %User Temp%\88451026\ioi.ico
• %User Temp%\88451026\qsq.ini
• %User Temp%\88451026\tiu.ini
• %User Temp%\88451026\mka.dat
• %User Temp%\88451026\llm.exe
• %User Profile%\temp\fsk.log
• %User Temp%\88451026\wpf.dll
• %User Temp%\88451026\fvg.xml
• %User Temp%\88451026\akt.ppt
• %User Temp%\88451026\tag.docx
• %User Temp%\88451026\sqt.cpl
• %User Temp%\88451026\sfi.vbs
• %User Temp%\88451026\ili.docx
• %User Temp%\88451026\cis.dat
• %User Temp%\88451026\xcc.exe
• %User Temp%\88451026\uqm.pdf
• %User Temp%\88451026\ndx.txt
• %User Temp%\88451026\rjr.pdf
• %User Temp%\88451026\fxb.xl
• %User Temp%\88451026\deg.bin
• %User Temp%\88451026\trg.xl
• %User Temp%\88451026\ptu.txt
• %User Temp%\88451026\fsk.log
• %User Temp%\88451026\gcq.msc
• %User Temp%\88451026\qgt.jpg
• %User Temp%\88451026\aox.xml
• %User Temp%\88451026\oms.pdf
• %User Temp%\88451026\uoi.ppt
• %User Temp%\88451026\sap.ico
• %User Temp%\88451026\pak.xls
• %User Temp%\88451026\start.cmd
• %User Temp%\88451026\lew.cpl
• %User Temp%\88451026\xhr.ini
• %User Temp%\88451026\jpc.pdf
• %User Temp%\88451026\slk.txt
• %User Temp%\88451026\egh.mp3
• %User Temp%\88451026\iiv.log
• %User Temp%\88451026\xav.mp3
• %User Temp%\88451026\njp.bmp
• %User Temp%\88451026\spc.icm
• %User Temp%\88451026\sta.log
• %User Temp%\88451026\bur.pdf
• %User Temp%\88451026\csk.xl
• %User Temp%\88451026\ihg.msc
• %User Temp%\88451026\elc.dll
• %User Temp%\88451026\lrw.bmp
• %User Temp%\88451026\mtw.xml
• %User Temp%\88451026\ega.xml
• %User Temp%\88451026\igu.cpl
• %User Temp%\88451026\isj.log
• %User Temp%\88451026\pfj.bmp
• %User Temp%\88451026\nar.exe
• %User Temp%\88451026\pqf.bmp
• %User Temp%\88451026\bgf.xls
• %User Temp%\88451026\jte.mp3
• %User Temp%\88451026\xxf.xml
• %User Temp%\88451026\ini
• %User Temp%\88451026\kpn.icm
• %User Temp%\88451026\eid.icm
• %User Temp%\88451026\hum.log
• %User Temp%\88451026\jjp.ico
• %User Temp%\88451026\bor.dat
• %User Temp%\88451026\aom.ini
• %User Temp%\88451026\wpv.log
• %User Temp%\88451026\tmd.xls
• %User Temp%\88451026\slr.jpg
• %User Temp%\88451026\jvi.xml
• %User Temp%\88451026\dpi.dll
• %User Temp%\88451026\rms.log
• %User Temp%\88451026\gsj.xml
• %User Temp%\88451026\bxn.exe
• %User Temp%\88451026\cwo.log
• %User Temp%\88451026\koi.ini
• %User Temp%\88451026\eqr.icm
• %User Temp%\88451026\kim=nok

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %User Profile%フォルダは、現在ログオンしているユーザのプロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞" です。)

このウイルス情報は、自動解析システムにより作成されました。