BKDR_ANDROM.YYSIM

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、ワーム活動の機能を備えていません。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

マルウェア マルウェアは、自身（コンピュータに侵入して最初に自身のコピーを作成した マルウェア ）を削除します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %All Users Profile%\ms{random}.exe

(註：%All Users Profile%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\All Users”、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\ProgramData” です。.)

マルウェアは、以下のプロセスを追加します。

• msiexec.exe

マルウェアは、以下のプロセスに自身を組み込み、システムのプロセスに常駐します。

• created msiexec.exe

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\policies\
Explorer\Run
{random number} = "%All Users Profile%\ms{random}.exe"

他のシステム変更

マルウェアは、以下のレジストリ値を変更します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
Hidden = "2"

(註：変更前の上記レジストリ値は、「1」となります。)

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
ShowSuperHidden = "0"

(註：変更前の上記レジストリ値は、「1」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System
EnableLUA = "0"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\policies\
Explorer
TaskbarNoNotification = "1"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
Explorer
TaskbarNoNotification = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\policies\
Explorer
HideSCAHealth = "1"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
Explorer
HideSCAHealth = "1"

感染活動

マルウェアは、ワーム活動の機能を備えていません。

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Download a file directed by C&C server, save it as %User Temp%\KB{8 random numbers}.exe and execute it
• Download a file directed by C&C server, save it as %All User Profile%\ms{random number}.dat and load it
• Download a file directed by C&C server, save it as %All User Profile%\ms{random}.exe:{random number}
• Copy %System%\cdosys.dll to %User Temp%\cdo{random number}.dll and load it
• Start a process
• Uninstall itself
• Perform remote shell commands
• Restart system

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.. %System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• http://{BLOCKED}.{BLOCKED}.212.117/imageserver/autogetting.php
• http://{BLOCKED}.{BLOCKED}.15.11/imageserver/autogetting.php
• http://{BLOCKED}.{BLOCKED}.244.182/imageserver/autogetting.php

ただし、情報公開日現在、このWebサイトにはアクセスできません。

情報漏えい

マルウェアは、以下の情報を収集します。

• Operating system information
• Local IP address
• Root volume serial number

その他

マルウェアは、以下のWebサイトにアクセスしてインターネット接続を確認します。

• update.microsoft.com
• microsoft.com
• google.com
• bing.com
• yahoo.com

マルウェア は、自身（コンピュータに侵入して最初に自身のコピーを作成した マルウェア ）を削除します。

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• C＆Cサーバからの指示でダウンロードしたファイルを "%User Temp%\KB{8 random numbers}.exe" として保存して実行する
• C＆Cサーバからの指示でダウンロードしたファイルを "%All User Profile%\ms{random number}.dat" として保存して読み込む
• C＆Cサーバからの指示でダウンロードしたファイルを "%All User Profile%\ms{random}.exe:{random number}" として保存する
• "%System%\cdosys.dll" を "%User Temp%\cdo{random number}.dll" へコピーして読み込む
• プロセスの開始
• 自身のアンインストール
• リモートシェルコマンドの実行
• コンピュータの再起動

マルウェアは以下の情報を収集します。

• オペレーティングシステム（OS）情報
• ローカルIPアドレス
• ルートボリュームシリアル番号

マルウェアは、以下の動作を実行します。

• 自身が仮想環境下またはエミュレーションソフトウェアで実行されているかを確認し、実行されている場合、無限スリープ状態にします。
• 感染コンピュータ内にネットワーク監視ソフトウェアが存在するかどうかを確認し、存在している場合、無限スリープ状態にします。
• 以下のネットワークタイムプロトコル（NTP）サーバに接続します。
  • africa.pool.ntp.org
  • asia.pool.ntp.org
  • europe.pool.ntp.org
  • north-america.pool.ntp.org
  • oceania.pool.ntp.org
  • pool.ntp.org
  • south-america.pool.ntp.org

マルウェアは、ルートキット機能を備えていません。

マルウェアは、脆弱性を利用した感染活動を行いません。