BKDR_ANDROM.YYSMPA

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。 マルウェアは、他のマルウェアに作成され、コンピュータに侵入します。

マルウェアは、特定のレジストリ値を削除するため、アプリケーションやプログラムが正しく起動しなくなります。

マルウェアは、ワーム活動の機能を備えていません。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。 ただし、情報公開日現在、このWebサイトにはアクセスできません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、以下のマルウェアに作成され、コンピュータに侵入します。

• TROJ_ANDROM.SVN

インストール

マルウェアは、以下のプロセスを追加します。

• msiexec.exe

マルウェアは、以下のプロセスにコードを組み込みます。

• created msiexec.exe

他のシステム変更

マルウェアは、以下のレジストリ値を削除します。

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Image File Execution Options\
taskmgr.exe
Debugger = "taskmgr.exe"

感染活動

マルウェアは、ワーム活動の機能を備えていません。

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Start a Process
• Download a file directed by C&C server, save it as %User Temp%\KB{8 random numbers}.exe and execute it
• Copy %System%\cdosys.dll to %User Temp%\cdo{random number}.dll and load it
• Uninstall itself

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.. %System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• http://{BLOCKED}entia.ru/diff.php
• http://{BLOCKED}trivia.ru/atomic.php

ただし、情報公開日現在、このWebサイトにはアクセスできません。

情報漏えい

マルウェアは、以下の情報を収集します。

• Root Volume Serial Number
• Operating System Version
• Local IP Address
• Administrator privileges

その他

マルウェアは、以下のWebサイトにアクセスしてインターネット接続を確認します。

• update.microsoft.com
• microsoft.com
• google.com
• bing.com
• yahoo.com

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• プロセスの開始
• C＆Cサーバからの指示でファイルをダウンロードして、"%User Temp%\KB{8 random numbers}.exe" として保存して実行する
• "%System%\cdosys.dll" を "%User Temp%\cdo{random number}.dll" へコピーして読み込む
• 自身のアンインストール

マルウェアは以下の情報を収集します。

• ルートボリュームのシリアル番号
• オペレーティングシステム（OS）情報
• プライベートIPアドレス
• 管理者権限

自身が仮想環境下またはエミュレーションソフトウェア、ネットワーク監視ソフトウェアに関連する以下のプロセスが実行されているどうかを確認します。そして、確認された場合、無限にスリープを実行します。

• avpui.exe
• filemon.exe
• netmon.exe
• perl.exe
• prl_cc.exe
• prl_tools_service.exe
• prl_tools.exe
• procmon.exe
• python.exe
• regmon.exe
• sandboxiedcomlaunch.exe
• sandboxierpcss.exe
• sharedintapp.exe
• vboxservice.exe
• vboxtray.exe
• vmsrvc.exe
• vmtoolsd.exe
• vmusrvc.exe
• vmwareservice.exe
• vmwareuser.exe
• wireshark.exe

システム言語が以下のいずれかの場合、マルウェアは自身の活動を実行しません。

• ロシア語
• ウクライナ語
• ベラルーシ語
• カザフ語

マルウェアは、以下のネットワークタイムプロトコル（NTP）サーバに接続します。

• pool.ntp.org
• africa.pool.ntp.org
• oceania.pool.ntp.org
• asia.pool.ntp.org
• south-america.pool.ntp.org
• north-america.pool.ntp.org
• europe.pool.ntp.org

マルウェアの現在のファイル名が以下のいずれかの場合、マルウェアは自身の不正活動を継続しません。

• C:\t.exe
• C:\myapp.exe
• C:\self.exe
• C:\file.exe
• C:\sample.exe

マルウェアは、ルートキット機能を備えていません。

マルウェアは、脆弱性を利用した感染活動を行いません。