BKDR_CAPHAW.LEK

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ただし、情報公開日現在、このWebサイトにはアクセスできません。 マルウェアは、実行後、自身を削除します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Application Data%\{random folder found}\{filename found in %System%}

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{random base64 chars} = "%Application Data%\{random folder found}\{filename found in %System%}"

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Multimedia\Audio Compression Manager

HKEY_CURRENT_USER\Software\Microsoft\
Multimedia\Audio Compression Manager\MSACM

HKEY_CURRENT_USER\Software\Microsoft\
Multimedia\Audio Compression Manager\Priority v4.00

マルウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
AudioCompressionManager\DriverCache\msacm.imaadpcm
fdwSupport = 1

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
AudioCompressionManager\DriverCache\msacm.imaadpcm
cFormatTags = 2

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
AudioCompressionManager\DriverCache\msacm.imaadpcm
aFormatTagCache = {Value}

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
AudioCompressionManager\DriverCache\msacm.imaadpcm
cFilterTags = 0

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
AudioCompressionManager\DriverCache\msacm.msg711
fdwSupport = 1

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
AudioCompressionManager\DriverCache\msacm.msg711
cFormatTags = 3

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
AudioCompressionManager\DriverCache\msacm.msg711
aFormatTagCache = {value}

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
AudioCompressionManager\DriverCache\msacm.msg711
cFilterTags = 0

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
AudioCompressionManager\DriverCache\msacm.msgsm610
fdwSupport = 1

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
AudioCompressionManager\DriverCache\msacm.msgsm610
cFormatTags = 2

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
AudioCompressionManager\DriverCache\msacm.msgsm610
aFormatTagCache = {value}

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
AudioCompressionManager\DriverCache\msacm.msgsm610
cFilterTags = 0

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
AudioCompressionManager\DriverCache\msacm.msadpcm
fdwSupport = 1

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
AudioCompressionManager\DriverCache\msacm.msadpcm
cFormatTags = 2

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
AudioCompressionManager\DriverCache\msacm.msadpcm
aFormatTagCache = {value}

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
AudioCompressionManager\DriverCache\msacm.msadpcm
cFilterTags = 0

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
AudioCompressionManager\DriverCache\msacm.l3acm
fdwSupport = 1

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
AudioCompressionManager\DriverCache\msacm.l3acm
cFormatTags = 2

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
AudioCompressionManager\DriverCache\msacm.l3acm
aFormatTagCache = {value}

その他

マルウェアは、以下の不正なWebサイトにアクセスします。

• It uses domain generation algorithm (DGA) for its C&C servers. Where the domain could be one of the following:
  • http://eoz5u{BLOCKED}mc6r0f.fey.su:443
  • http://yv4lfo{BLOCKED}c.exy.su:443
  • http://tvlobc{BLOCKED}.enp.cc:443

ただし、情報公開日現在、このWebサイトにはアクセスできません。

マルウェアは、実行後、自身を削除します。