Backdoor.Win32.REMCOS.UGR

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスを追加します。

• %User Temp%\wpasvc.exe unreg
• %System%\rundll32.exe FocsleCandela,Sixpack
• %System%\cmd.exe /c "COPY /Y /B "{malware file path and name}" "%Application Data%\Adobe\LogTransport2\proquota.exe""
• %System%\cmd.exe /c "COPY /Y /B "%User Temp%\165d24b9.lnk" "%User Startup%\proquota.lnk""

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.. %Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。. %User Startup%フォルダは、現在ログオンしているユーザのスタートアップフォルダです。Windows 98およびMEの場合、通常 "C:\Windows\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows NTの場合、通常 "C:\WINNT\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows 2003(32-bit)、XP、2000(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows Vista、7、8、 8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup" です。)

マルウェアは、以下のフォルダを作成します。

• %Application Data%\Contact\Software\Linux
• %Application Data%\Contact
• %Application Data%\remcos
• %Application Data%\slimstat
• %Application Data%\statistik\icons
• %User Temp%\playlist
• %Application Data%\Contact\Software
• %Application Data%\statistik\icons\META-INF
• %Application Data%\statistik
• %User Temp%\logfiles

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。. %User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

自動実行方法

マルウェアは、Windows起動時に自動実行されるよう＜User Startup＞フォルダ内に以下のファイルを作成します。

• %User Startup%\proquota.lnk

(註：%User Startup%フォルダは、現在ログオンしているユーザのスタートアップフォルダです。Windows 98およびMEの場合、通常 "C:\Windows\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows NTの場合、通常 "C:\WINNT\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows 2003(32-bit)、XP、2000(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows Vista、7、8、 8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup" です。)

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\t-3NNKX7
exepath = "{random characters}"

HKEY_CURRENT_USER\Software\t-3NNKX7
licence = "A4CBD41C6496AE28C4517DA4A5441400"

作成活動

マルウェアは、以下のファイルを作成します。

• %Application Data%\statistik\icons\META-INF\ildasm.exe
• %Application Data%\statistik\icons\META-INF\u2dmapi.dll
• %User Temp%\logfiles\generalBindings.xml
• %Application Data%\statistik\icons\META-INF\Properties.xml
• %Application Data%\statistik\icons\META-INF\msenv2p.dll
• %User Temp%\logfiles\61.opends60.dll
• %Application Data%\Contact\Software\Linux\SoapSuds.exe
• %Application Data%\slimstat\crtowordschs.dll
• %Application Data%\statistik\icons\META-INF\x-cpio-compressed.xml
• %Application Data%\statistik\icons\META-INF\ConfigSSE.exe
• %User Temp%\logfiles\msdnmui.dll
• %User Temp%\165d24b9.lnk
• %User Temp%\logfiles\fdl-appendix.xml
• %Application Data%\statistik\icons\META-INF\47.opends60.dll
• %Application Data%\slimstat\5.opends60.dll
• %User Temp%\playlist\x-bzpdf.xml
• %User Temp%\logfiles\39.opends60.dll
• %User Temp%\logfiles\SamplesFilterTransform80.xml
• %Application Data%\slimstat\MicrosoftVSDesignerUI.dll
• %User Temp%\logfiles\VsLogP.dll
• %User Temp%\Splice
• %User Temp%\logfiles\RSObjectsUI.dll
• %User Temp%\FocsleCandela.dll
• %Application Data%\remcos\logs.dat
• %User Temp%\logfiles\resToResX.exe
• %User Temp%\logfiles\atltracetoolui.dll
• %User Temp%\playlist\articlebad.xml
• %User Temp%\logfiles\18.opends60.dll
• %Application Data%\slimstat\VCProjectEngine.dll
• %User Temp%\playlist\CSTLDUI.dll
• %Application Data%\Contact\Software\Linux\model91.xml
• %Application Data%\slimstat\vnd.dxf.xml
• %Windows%\Tasks\proquota.job
• %Application Data%\slimstat\contextp.dll
• %Application Data%\statistik\icons\META-INF\org.gnome.system.locale.gschema.xml

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。. %User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

このウイルス情報は、自動解析システムにより作成されました。