BKDR_BAYROB.P

マルウェアは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。 マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

• %System Root%\rmpeumktt\zbze1o5ouv2heujb9jfb.exe
• %System Root%\rmpeumktt\nmtuyjeje.exe
• %System Root%\rmpeumktt\ouxnjybzpkya.exe

(註：%System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.)

マルウェアは、以下のファイルを作成します。

• %Windows%\rmpeumktt\rzhhdtke0
• %System Root%\rmpeumktt\qiroq1u9wew5
• %System Root%\rmpeumktt\r9du2g9q
• %System Root%\rmpeumktt\rzhhdtke0

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.. %System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.)

マルウェアは、以下のフォルダを作成します。

• %Windows%\rmpeumktt
• %System Root%\rmpeumktt

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.. %System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.)

自動実行方法

マルウェアは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Event Identity Filtering Profile Remote
Type = "272"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Event Identity Filtering Profile Remote
Start = "2"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Event Identity Filtering Profile Remote
ImagePath = "%System Root%\rmpeumktt\ouxnjybzpkya.exe"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Event Identity Filtering Profile Remote
DisplayName = "Event Identity Filtering Profile Remote"

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Run
Extensible Windows Transfer Human Link-Layer = "%System Root%\rmpeumktt\ouxnjybzpkya.exe"

マルウェアは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\System\CurrentControlSet\
Services\Proxy Session Routing Manager

その他

マルウェアは、以下の不正なWebサイトにアクセスします。

• http://{domain}.net/index.php

マルウェアは、ファイルが適切に実行されていないことをユーザに知らせるために偽のエラーメッセージを表示します。

{domain}は、以下の文字列のうちの2つを連結して生成されます。

• answer
• around
• because
• broken
• building
• catch
• clothes
• complete
• degree
• desire
• difficult
• distant
• doctor
• double
• dress
• during
• eearly
• enough
• evening
• expect
• fellow
• foreign
• forward
• future
• gentle
• glass
• govern
• health
• heard
• heaven
• heavy
• indeed
• leader
• length
• machine
• might
• movement
• nature
• necessary
• needle
• notice
• order
• outside
• person
• pleasant
• prepare
• pretty
• proud
• public
• require
• result
• return
• right
• safety
• separate
• still
• store
• strength
• sudden
• various
• welcome
• whether