BKDR_CYCBOT.SME

マルウェアは、他のマルウェアに作成され、コンピュータに侵入します。 マルウェアは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。

マルウェアは、ダウンロードしたファイルを実行します。

侵入方法

マルウェアは、他のマルウェアに作成され、コンピュータに侵入します。

マルウェアは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %User Temp%\dwm.exe

(註：%User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows NT\CurrentVersion\Winlogon
Shell = explorer.exe, %Application Data%\Microsoft\Windows\shell.exe

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Run
svchost = %Application Data%\Microsoft\svchost.exe

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を変更します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows NT\CurrentVersion\Windows
load = %User Temp%\dwm.exe

(註：変更前の上記レジストリ値は、「{blank}」となります。)

他のシステム変更

マルウェアは、インストールの過程で、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings
ProxyServer = http=127.0.0.1:50370

マルウェアは、インストールの過程で以下のレジストリキーまたはレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Hardware Profiles\0001\Software\
Microsoft\windows\CurrentVersion\
Internet Settings
ProxyEnable = 1

(註：変更前の上記レジストリ値は、「0」となります。)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Hardware Profiles\Current\Software\
Microsoft\windows\CurrentVersion\
Internet Settings
ProxyEnable = 1

(註：変更前の上記レジストリ値は、「0」となります。)

作成活動

マルウェアは、収集した情報を保存するために以下のファイルを作成します。

• %Application Data%\Microsoft\stor.cfg

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

ダウンロード活動

マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %Application Data%\Microsoft\svchost.exe
• %Application Data%\Microsoft\Windows\shell.exe

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

マルウェアは、ダウンロードしたファイルを実行します。

情報収集

マルウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

• http://{BLOCKED}tyourpc-11.com/cgi-bin/cycle_report.cgi

バックドア活動

マルウェアは、インターネットブラウザの活動を監視します。そして検索エンジンやソーシャル・ネットワーキング・サイト（SNS)といった以下のような文字列を含む人気のWebサイトを確認し、情報を収集します。

• wikipedia
• youtube
• facebook
• twitter
• amazon
• blogger
• flickr
• google.
• bing.com
• yahoo.com
• search.aol.
• suche.aol.
• searcht2.aol.
• .yimg.com
• .bing.net
• yahoo.
• aolcdn.
• scorecardresearch.com
• brightcove.com
• .aol.
• aolsvc.
• .atwola.
• .ivwbox.
• .google
• .atdmt.
• .abmr.
• /complete/search
• bing.com/search
• search.yahoo.com/search
• aol/search
• &query=
• ?query=

マルウェアは、プロシキサーバを装い、以下のインターネットブラウザのリクエストを妨害し、ポート50370番のプロシキサーバへリクエストが送信されるよう指示します。

• Internet Explorer
• IMozilla Firefox
• IOpera

マルウェアは、以下のWebサイトにアクセスします。

• Ihttp://{BLOCKED}m.com
• Ihttp://{BLOCKED}k.com
• Ihttp://{BLOCKED}rboardstest.com
• Ihttp://{BLOCKED}audiodevice.com
• Ihttp://{BLOCKED}emywebconnection.com
• Ihttp://{BLOCKED}archive.com
• Ihttp://{BLOCKED}cdriversonline.com
• Ihttp://{BLOCKED}wwcounter.com
• Ihttp://{BLOCKED}memonitoring.com
• Ihttp://{BLOCKED}ysstore.com
• Ihttp://{BLOCKED}ffectivecasino.com
• Ihttp://{BLOCKED}levideochanel.com

マルウェアは、HTTP GETリクエストを送信することによって、上記のサーバから更新された自身のコピーまたは他の不正なファイルをダウンロードします。マルウェアは、以下のいずれかの文字列を追加します。

• /im133.jpg?tq={parameter}
• /im134.jpg?tq={parameter}
• /im135.jpg?tq={parameter}

マルウェアは、以下のWebサイトに要求を送信します。このWebサイトは、容易に検出されないために、無害な画像をダウンロードします。

• http://{BLOCKED}inedatingtips.net/images/dating1.jpg?tq={parameter}
• http://{BLOCKED}dating.com/images/attend_for_free/attend33.jpg?tq={parameter}
• http://{BLOCKED}dating.com/images/attend_for_free/attend34.jpg?tq={parameter}
• http://{BLOCKED}dating.com/images/attend_for_free/attend35.jpg?tq={parameter}
• http://{BLOCKED}dating.com/successStories.cgi?tq={parameter}
• http://{BLOCKED}cn/2010/10/10/20101010095345843723.jpg?tq={parameter}
• http://{BLOCKED}cn/2010/10/10/20101010095345843724.jpg?tq={parameter}
• http://{BLOCKED}/jianfei/dier.jpg?tq={parameter}
• http://{BLOCKED}/jianfei/dier2.jpg?tq={parameter}
• http://{BLOCKED}o.com/images/logo-1.jpg?tq={parameter}
• http://{BLOCKED}killerpro.com/img/eslogo.gif?tq={parameter}