BKDR_FAKEMS.ZZXX

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。 ただし、情報公開日現在、このWebサイトにはアクセスできません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

自動実行方法

マルウェアは、作成されたコンポーネントをシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\TPAutoConSvc

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\TPAutoConSvc

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\TPAutoConSvc

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\TPAutoConSvc
Type = "0x00000020"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\TPAutoConSvc
Start = "0x00000002"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\TPAutoConSvc
ImagePath = "%systemroot%\system32\svchost.exe -k netgroup"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\TPAutoConSvc
ErrorControl = "0x00000001"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\TPAutoConSvc
DisplayName = "TP AutoConnection Service"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\TPAutoConSvc
Group = "netsvcs"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\TPAutoConSvc\Parameters
ServiceDll = "%systemroot%\system32\tpautosvc.dll"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\TPAutoConSvc\Security
Security = {hex values}

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\TPAutoConSvc\Enum
0 = "Root\LEGACY_TPAUTOCONSVC\0000"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\TPAutoConSvc\Enum
Count = "0x00000001"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\TPAutoConSvc\Enum
NextInstance = "0x00000001"

マルウェアは、作成されたコンポーネントをシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\TPAutoConSvc

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\TPAutoConSvc\Parameters

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\TPAutoConSvc\Security

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\SvcHost
netgroup = "TPAutoConSvc"

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Perform Remote Shell

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• gmail.{BLOCKED}ktw.com - using port 80 and 443

ただし、情報公開日現在、このWebサイトにはアクセスできません。

作成活動

マルウェアは、以下のファイルを作成します。

• %System%\tpautosvc.dll

(註：%System%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では "C:\Windows\System32" です。)