Backdoor.Win32.PROTON.THCBDBO

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、タスクマネージャやレジストリエディタ、フォルダオプションを無効にします。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスを追加します。

• attrib +H %System Root%\COVID-19
• reg.exe ADD HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System /v disabletaskmgr /t REG_DWORD /d 1 /f
• reg.exe ADD HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v EnableLUA /t REG_DWORD /d 0 /f
• reg.exe ADD HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System /v wallpaper /t REG_SZ /d %System Root%\COVID-19\wallpaper.jpg /f
• reg.exe ADD HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\ActiveDesktop /v NoChangingWallPaper /t REG_DWORD /d 1 /f
• reg.exe ADD HKCU\Control Panel\Cursors /v Arrow /t REG_SZ /d %System Root%\COVID-19\cursor.cur /f
• reg.exe ADD HKCU\Control Panel\Cursors /v AppStarting /t REG_SZ /d %System Root%\COVID-19\cursor.cur /f
• reg.exe ADD HKCU\Control Panel\Cursors /v Hand /t REG_SZ /d %System Root%\COVID-19\cursor.cur /f
• reg.exe ADD HKLM\Software\Microsoft\Windows\CurrentVersion\Run /v CheckForUpdates /t REG_SZ /d %System Root%\COVID-19\Update.vbs /f
• reg.exe ADD HKLM\Software\Microsoft\Windows\CurrentVersion\Run /v explorer.exe /t REG_SZ /d %System Root%\COVID-19\run.exe /f
• reg.exe ADD HKLM\software\Microsoft\Windows\CurrentVersion\Run /v GoodbyePC! /t REG_SZ /d %System Root%\COVID-19\end.exe /f
• shutdown -r -t 5

(註：%System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.)

マルウェアは、以下のフォルダを作成します。

• %System Root%\COVID-19

(註：%System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.)

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System
EnableLUA = "0"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
System
wallpaper = "%System Root%\COVID-19\wallpaper.jpg"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
ActiveDesktop
NoChangingWallPaper = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
Microsoft\Windows\CurrentVersion\
Run
CheckForUpdates = "%System Root%\COVID-19\Update.vbs"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
Microsoft\Windows\CurrentVersion\
Run
explorer.exe = "%System Root%\COVID-19\run.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
Microsoft\Windows\CurrentVersion\
Run
GoodbyePC! = "%System Root%\COVID-19\end.exe"

マルウェアは、以下のレジストリ値を追加し、タスクマネージャやレジストリエディタ、フォルダオプションを無効にします。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
System
disabletaskmgr = "1"

作成活動

マルウェアは、以下のファイルを作成します。

• %System Root%\COVID-19\run.exe
• %System Root%\COVID-19\wallpaper.jpg
• %User Temp%\Update.vbs
• %User Temp%\run.exe
• %User Temp%\mainWindow.exe
• %User Temp%\wallpaper.jpg
• %System Root%\COVID-19\mainWindow.exe
• %System Root%\COVID-19\end.exe
• %System Root%\COVID-19\Update.vbs
• %User Temp%\end.exe
• %System Root%\COVID-19\cursor.cur
• %User Temp%\cursor.cur

(註：%System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.. %User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

このウイルス情報は、自動解析システムにより作成されました。