BKDR_CARBANAK.YQ

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。 マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。

マルウェアは、実行後、自身を削除します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %All Users Profile%\Application Data\Mozilla\{random}.exe - for Windows XP and prior OS versions
• %ProgramData%\Mozilla\{random}.exe - for Windows Vista and later OS versions

(註：%All Users Profile%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\All Users”、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\ProgramData” です。.. %ProgramData%フォルダは、Windows Vista および 7 の場合、通常、"C:\ProgramData"、Windows 2000、XP (32ビット)、Server 2003 の場合、"C:\Program Files"、Windows XP (64ビット) の場合、"C:\Program Files (x86)" です。)

マルウェアは、以下のフォルダを作成します。

• %All Users Profile%\Application Data\Mozilla - for Windows XP and later OS versions
• %ProgramData%\Mozilla - for Windows 7 and later OS versions

(註：%All Users Profile%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\All Users”、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\ProgramData” です。.. %ProgramData%フォルダは、Windows Vista および 7 の場合、通常、"C:\ProgramData"、Windows 2000、XP (32ビット)、Server 2003 の場合、"C:\Program Files"、Windows XP (64ビット) の場合、"C:\Program Files (x86)" です。)

マルウェアは、以下のプロセスにコードを組み込みます。

• created svchost.exe

自動実行方法

マルウェアは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{random service name}Sys
ImagePath = "%ProgramData%\Mozilla\{random}.exe - for Windows Vista and later OS versions"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{random service name}Sys
ImagePath = "%All Users Profile%\Application Data\Mozilla\{random}.exe - for Windows XP and prior OS versions"

マルウェアは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\{random service name}Sys

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Capture and send screenshots
• Capture and send video
• Download configuration file
• Download and execute arbitrary files
• Download third party remote desktop protocol software that will be used for remote access
• Update itself
• Restart the machine
• Check state of malware

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• https://arhangelb.{BLOCKED}ple.com

マルウェアは、コマンド＆コントロール（C&C）サーバに以下の情報を通知します。

• OS version
• number of processors
• computer name
• username
• current time

その他

マルウェアは、以下のファイルを作成します。

• %All Users Profile%\Application Data\Mozilla\{random file name}.bin - for Windows XP and prior OS versions
• %Program Data%\Mozilla\{random file name}.bin - for Windows Vista and laterr OS versions

(註：%All Users Profile%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\All Users”、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\ProgramData” です。.)

マルウェアは、実行後、自身を削除します。