Backdoor.Win32.SIMDA.C003X3KR19

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
userinit = "%System%\userinit.exe,%Windows%\apppatch\svchost.exe,"

(註：変更前の上記レジストリ値は、「%Windows%\system32\userinit.exe,」となります。)

他のシステム変更

マルウェアは、以下のファイルを削除します。

• %Program Files%\AVG\AVG9\dfncfg.dat
• {malware file path and name}
• %Windows%\AppPatch\svchost.exe_

(註：%Program Files%フォルダは、デフォルトのプログラムファイルフォルダです。C:\Program Files in Windows 2000(32-bit)、Server 2003(32-bit)、XP、Vista(64-bit)、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files"です。また、Windows XP(64-bit)、Vista(64-bit)、7(64-bit)、8(64-bit)、8.1(64-bit)、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files（x86）" です。. %Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

マルウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
1cca0df5 = "{random characters}"

マルウェアは、以下のレジストリキーを削除します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
1CCA0967a

作成活動

マルウェアは、以下のファイルを作成します。

• %Windows%\AppPatch\svchost.exe
• %All Users Profile%\PrevxCSI\csidb.csi
• %Program Files%\AVG\AVG9\dfmcfg.dat

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.. %All Users Profile%フォルダは、ユーザの共通プロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\All Users” です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData” です。. %Program Files%フォルダは、デフォルトのプログラムファイルフォルダです。C:\Program Files in Windows 2000(32-bit)、Server 2003(32-bit)、XP、Vista(64-bit)、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files"です。また、Windows XP(64-bit)、Vista(64-bit)、7(64-bit)、8(64-bit)、8.1(64-bit)、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files（x86）" です。)

その他

マルウェアは、以下の不正なWebサイトにアクセスします。

• http://{BLOCKED}t.com/login.php
• http://{BLOCKED}h.com/login.php
• http://{BLOCKED}w.com/login.php
• http://{BLOCKED}j.com/login.php
• http://{BLOCKED}r.com/login.php
• http://www.{BLOCKED}h.com/login.php
• http://{BLOCKED}s.com/login.php
• http://{BLOCKED}l.com/login.php
• http://{BLOCKED}f.com/login.php
• http://{BLOCKED}c.com/login.php
• http://{BLOCKED}w.com/hbt.php?rewrite=login.php
• http://www.{BLOCKED}t.com/login.php
• http://usd.{BLOCKED}bra.com/zcvisitor/{GUID}?campaignid={GUID}
• http://www.{BLOCKED}s.com
• http://www.{BLOCKED}w.com/hbt.php?rewrite=login.php
• http://{BLOCKED}d.com/login.php
• http://{BLOCKED}d.com/index.html
• http://{BLOCKED}m.com/login.php
• http://{BLOCKED}n.com/login.php
• http://{BLOCKED}b.com/login.php
• http://www.{BLOCKED}n.com
• http://www.{BLOCKED}n.com/default.php
• http://{BLOCKED}z.com/login.php
• http://www.{BLOCKED}s.com/login.php
• http://{BLOCKED}g.com/login.php
• http://ww55.{BLOCKED}b.com
• http://{BLOCKED}v.com/login.php
• http://{BLOCKED}x.com/login.php
• http://www.{BLOCKED}x.com/login.php
• http://usa.{BLOCKED}bra.com/zcvisitor/{GUID}?campaignid={GUID}
• http://ww11.{BLOCKED}b.com
• http://www.{BLOCKED}g.com
• http://{BLOCKED}p.com
• http://{BLOCKED}q.com
• http://{BLOCKED}k.com

このウイルス情報は、自動解析システムにより作成されました。