BKDR_CYCBOT.SMIB

マルウェアは、リモートサイトから他のマルウェア、グレイウェアまたはスパイウェアにダウンロードされ、コンピュータに侵入します。 マルウェアは、他のマルウェアに作成され、コンピュータに侵入します。 マルウェアは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。

侵入方法

マルウェアは、リモートサイトから他のマルウェア、グレイウェアまたはスパイウェアにダウンロードされ、コンピュータに侵入します。

マルウェアは、他のマルウェアに作成され、コンピュータに侵入します。

マルウェアは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %User Temp%\csrss.exe

(註：%User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• {A5B35993-9674-43cd-8AC7-5BC5013E617B}
• {35BCA615-C82A-4152-8857-BCC626AE4C8D}
• {C0429A47-0CF0-4d1b-9616-C588FA0A3DDB}
• {43B671F0-5D50-4dbe-AD9C-64A6167C57AD}
• {6B985724-623F-492e-B0D6-C9715ADE853B}
• {B37C48AF-B05C-4520-8B38-2FE181D5DC78}
• {95F6585C-CC1E-4b52-A63B-9FBC6A94F371}

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows NT\CurrentVersion\Winlogon
Shell = explorer.exe,%Application Data%\dwm.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
conhost = %Application Data%\Microsoft\conhost.exe

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings
ProxyServer = http=127.0.0.1:64323

マルウェアは、以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Hardware Profiles\0001\Software\
Microsoft\windows\CurrentVersion\
Internet Settings
ProxyEnable = "1"

(註：変更前の上記レジストリ値は、「0」となります。)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Hardware Profiles\Current\Software\
Microsoft\windows\CurrentVersion\
Internet Settings
ProxyEnable = "1"

(註：変更前の上記レジストリ値は、「0」となります。)

HKEY_CURRENT_CONFIG\Software\Microsoft\
windows\CurrentVersion\Internet Settings
ProxyEnable = "1"

(註：変更前の上記レジストリ値は、「0」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows Defender
DisableAntiSpyware = "1"

(註：変更前の上記レジストリ値は、「0」となります。)

バックドア活動

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• http://{BLOCKED}linecatalog.com
• http://{BLOCKED}pmusiconline.com
• http://{BLOCKED}temilkandtee.com
• http://{BLOCKED}eeddbsearch.com
• http://{BLOCKED}gsourcecodes.com
• http://{BLOCKED}gamesonlines.com
• http://{BLOCKED}backuostore4you.com
• http://{BLOCKED}eyescat.com
• http://{BLOCKED}skopia.com
• http://{BLOCKED}oisdb.com
• http://{BLOCKED}grammingshool.com
• http://{BLOCKED}cureonline.com
• http://{BLOCKED}aclubonline.com
• http://{BLOCKED}ioz.com

プロセスの終了

マルウェアは、感染コンピュータ上でプロセスが常駐されていることを確認した場合、以下のいずれかの文字列を含むプロセスまたはサービスを終了します。

• avgnt.exe
• Avira*
• ccsvchst.exe
• Norton*
• Symantec*
• AvastUI.exe
• Alwil Software*
• Avast*
• mcagent.exe
• McAfee*
• avira
• norton
• avast
• mcafee
• bitdef
• kasper
• drweb
• nod32

作成活動

マルウェアは、収集した情報を保存するために以下のファイルを作成します。

• %Application Data%\9EAE.6BA

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスし、不正なファイルをダウンロードして実行します。

• http://{BLOCKED}rom.at/polytheism/pictures/TanzenderShiva.jpg
• http://{BLOCKED}eafdesign.com/blog/images/share/stumble.png
• http://{BLOCKED}eafdesign.com/blog/images/share/facebook.png
• http://{BLOCKED}twaredevelopment.com/WindowsLiveWriter/web-2_0_thumb_1.gif
• http://{BLOCKED}tar.com/avatar.php?gravatar_id=f2a3889aff6fc9711a3cbcfe64067be1
• http://{BLOCKED}tar.com/avatar.php?gravatar_id=f2a3889aff6fc9711a3cbcfe64067be2
• http://{BLOCKED}ho.com/wp-content/uploads/2010/09/web-20-what-is-300x251.jpg
• http://{BLOCKED}fk.com/img/icons/twitter.png
• http://{BLOCKED}fk.com/img/icons/facebook.png
• http://{BLOCKED}ylifenow.com/templates/7348/images/header_logo.jpg
• http://{BLOCKED}ylifenow.com/templates/7349/images/header_logo.jpg
• http://{BLOCKED}ndandbarrett.com/images/footer/account.jpg
• http://{BLOCKED}dandbarrett.com/images/footer/account.gif
• http://{BLOCKED}sautoelectric.com/images/50-217-1_F_1_.jpg
• http://{BLOCKED}autoelectric.com/images/50-217-1_F_2_.jpg
• http://{BLOCKED}zdirectory.com/images/PowerShowBanner.gif
• http://{BLOCKED}zdirectory.com/images/PowerHideBanner.gif
• http://{BLOCKED}paganda.net/blog/pics/3321.jpg
• http://{BLOCKED}paganda.net/blog/pics/3322.jpg
• http://{BLOCKED}segreenteaonline.com/assets/images/greentea-cha-1.gif
• http://{BLOCKED}segreenteaonline.com/assets/images/greentea-cha-2.gif
• http://{BLOCKED}rbalteaonline.com/images/greenherbalteagirlholdingcup250.gif
• http://{BLOCKED}erbalteaonline.com/images/greenherbalteagirlholdingcup350.gif
• http://{BLOCKED}institute.com/g7/images/logo.jpg
• http://{BLOCKED}institute.com/g7/images/logo2.jpg
• http://{BLOCKED}institute.com/g7/images/logo3.jpg
• http://{BLOCKED}institute.com/g7/images/logo4.jpg
• http://{BLOCKED}datingsecretfriends.com/images/im133.jpg
• http://{BLOCKED}edatingsecretfriends.com/images/im134.jpg
• http://{BLOCKED}ats.com/images/logo.png

マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %Application Data%\Microsoft\conhost.exe
• %Application Data%\dwm.exe
• %User Temp%\2.exe

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。. %User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

トレンドマイクロの製品では、ダウンロードしたファイルを以下として検出します。

• BKDR_CYCBOT.SMIB