BKDR_CYCBOT.UNYG

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のフォルダを作成します。

• %User Profile%\Application Data\68AD0
• %Program Files%\LP
• %Program Files%\LP\6AA6
• %User Profile%\CryptnetUrlCache\MetaData
• %User Profile%\Microsoft\CryptnetUrlCache
• %User Profile%\CryptnetUrlCache\Content

(註：%User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞" です。. %Program Files%フォルダは、Windows 2000、Server 2003、XP (32ビット)、通常 Vista (32ビット) および 7 (32ビット) の場合、通常 "C:\Program Files"、Windows XP (64ビット)、Vista (64ビット) および 7 (64ビット) の場合、通常 "C:\Program Files (x86)" です。)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
056.exe = "%Program Files%\LP\6AA6\056.exe"

他のシステム変更

マルウェアは、以下のフォルダを削除します。

• %User Profile%\My Documents\My Pictures
• %Start Menu%\Programs\Administrative Tools

(註：%User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞" です。. %Start Menu%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Windows\Start Menu" または "C:\Documents and Settings\＜ユーザ名＞\Start Menu"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu" です。)

マルウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\WinRAR

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\WinRAR
HWID = "{random values}"

マルウェアは、以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\wscsvc
Start = "3"

(註：変更前の上記レジストリ値は、「2」となります。)

作成活動

マルウェアは、以下のファイルを作成します。

• %Program Files%\LP\6AA6\4.tmp
• %Program Files%\LP\6AA6\056.exe
• %User Profile%\MetaData\7B2238AACCEDC3F1FFE8E7EB5F575EC9
• %User Profile%\Content\7B2238AACCEDC3F1FFE8E7EB5F575EC9
• %User Profile%\MetaData\A44F4E7CB3133FF765C39A53AD8FCFDD
• %User Profile%\Content\A44F4E7CB3133FF765C39A53AD8FCFDD
• %User Profile%\MetaData\60E31627FDA0A46932B0E5948949F2A5
• %User Profile%\Content\60E31627FDA0A46932B0E5948949F2A5
• %User Profile%\MetaData\0797C381B2F87EB5A1D5573BD15BA4F4
• %User Profile%\Content\0797C381B2F87EB5A1D5573BD15BA4F4
• %User Profile%\MetaData\2BF68F4714092295550497DD56F57004
• %User Profile%\Content\2BF68F4714092295550497DD56F57004
• %User Profile%\MetaData\94308059B57B3142E455B38A6EB92015
• %User Profile%\Content\94308059B57B3142E455B38A6EB92015
• %Temp%\Cab2B.tmp
• %Temp%\Tar2D.tmp

(註：%Program Files%フォルダは、Windows 2000、Server 2003、XP (32ビット)、通常 Vista (32ビット) および 7 (32ビット) の場合、通常 "C:\Program Files"、Windows XP (64ビット)、Vista (64ビット) および 7 (64ビット) の場合、通常 "C:\Program Files (x86)" です。. %User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞" です。. %Temp%フォルダは、標準設定では "C:\Windows\Temp" です。)

その他

マルウェアは、以下の不正なWebサイトにアクセスします。

• {BLOCKED}5.89.148
• {BLOCKED}20.96
• {BLOCKED}85.163
• {BLOCKED}97.120

このウイルス情報は、自動解析システムにより作成されました。