BKDR_ANDROM.WEY

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

マルウェアは、ダウンロードしたファイルを実行します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %User Temp%\ms{random characters}.{extension name}
• %AppDataLocal%\Temp\ms{random}.{extension name} (Windows Vista and higher versions)
• %All Users Profile%\Local Settings\Temp\ms{random}.{extension name} (Versions lower than Windows Vista)

(註：%User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %AppDataLocal%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local" です。)

マルウェアは、以下のプロセスにコードを組み込み、システムのプロセスに常駐します。

• wuauclt.exe
• svchost.exe

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows NT\CurrentVersion\Windows
Load = "%User Temp%\ms{random}.{extension name}"

HKEY_CURRENT_USER\Software\Microsoft\
Windows NT\CurrentVersion\Windows
Load = "%AppDataLocal%\Temp\ms{random}.{extension name}" (Windows Vista and higher versions)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\policies\
Explorer\Run
{random number} = "%User Temp%\ms{random}.{extension name}"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\policies\
Explorer\Run
{random number} = "%All Users Profile%\Local Settings\Temp\ms{random}.{extension name}" (Versions lower than Windows Vista)

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Download a file directed by C&C server, save it as %User Temp%\{random number}.exe and execute it
• Download a file directed by C&C server, save it as %All Users Profile%\ms{random number}.dat and loads it
• Start a process
• Uninstall itself
• Remote shell commands

(註：%User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• http://{BLOCKED}gate.pw/skyload/skygate.php
• http://{BLOCKED}.{BLOCKED}.204.237/skyload/skygate.php

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスし、ファイルをダウンロードします。

• http://{BLOCKED}.{BLOCKED}.137.91/images/0/saner.exe
• http://{BLOCKED}.{BLOCKED}.137.91/images/0/0.dll

マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %User Temp%\{random number}.exe - detected as TROJ_SULUNCH.VI
• %All Users Profile%\ms{random number}.dat - detected as TSPY_FAREIT.WEY

(註：%User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

マルウェアは、ダウンロードしたファイルを実行します。