BKDR_DERVEC.AH

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %System Root%\ProgramData\Microsoft\Windows\NetCC450.dll
• %System Root%\ProgramData\Microsoft\Windows\QQlive.exe

(註：%System Root%は、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。)

マルウェアは、以下のフォルダを作成します。

• %System Root%\ProgramData
• %System Root%\ProgramData\Microsoft
• %System Root%\ProgramData\Microsoft\Windows
• %System Root%\ProgramData\Microsoft\Windows\Common

(註：%System Root%は、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。)

他のシステム変更

マルウェアは、インストールの過程で、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Security\
Log
u={email address entered}|p={password entered} = "CBMail"

マルウェアは、インストールの過程で、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Security

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Enum\Root\LEGACY_REGSERV

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\AudioLog0n

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\CliSvc

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\NetSrv

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\RegServ

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SysSrv

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\TCPService

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\WNetService

その他

マルウェアは、以下の不正なWebサイトにアクセスします。

• http://{BLOCKED}u.com/belheiwqiu/rss
• http://{BLOCKED}u.com/bwhrpbe/rss
• http://{BLOCKED}u.com/gpocoi55/rss
• http://{BLOCKED}u.com/gqpgemc/rss
• http://{BLOCKED}u.com/gqpgemcuwd/rss
• http://{BLOCKED}u.com/heiwqiu/rss
• http://{BLOCKED}u.com/ihnv2386/rss
• http://{BLOCKED}u.com/iwaxsxg/rss
• http://{BLOCKED}u.com/ocoijxnwkg/rss
• http://{BLOCKED}u.com/wdxiw894/rss
• http://{BLOCKED}u.com/wkgbbw73/rss