BKDR_MATSNU.AB

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、実行後、自身を削除します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %User Temp%\{random folder name}\{random filename 1}.exe
• %User Temp%\{random filename 2}.pre - deleted afterwards

(註：%User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

マルウェアは、以下のフォルダを作成します。

• %User Temp%\{random folder name}

(註：%User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{random} = "%User Temp%\{random folder name}\{random file name 1}.exe"

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Image File Execution Options\
taskmgr.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Image File Execution Options\
msconfig.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Image File Execution Options\
regedit.exe

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System
DisableRegistryTools = "1"

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System
DisableRegedit = "1"

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System
DisableTaskMgr = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\policies\
system
DisableRegedit = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\policies\
system
DisableTaskMgr = "1"

マルウェアは、以下のレジストリキーを削除します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Control\SafeBoot\Network

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Control\SafeBoot\Minimal

その他

マルウェアは、以下の不正なWebサイトにアクセスします。

• http://{BLOCKED}hi.com/images/1.php
• http://{BLOCKED}isx.com/ca.php
• http://{BLOCKED}isxf.com/TPR0-QQWSKA-423PZS.php
• http://{BLOCKED}dezovc.com/img/1.php
• http://{BLOCKED}olde.com/images/1.php
• http://{BLOCKED}fe.com/img/1.php
• http:/{BLOCKED}z.com/TPR0-QQWSKA-423PZS.php
• http://{BLOCKED}z.com/ad.php
• http://{BLOCKED}dpvsje.com/TPR0-QQWSKA-423PZS.php
• http://{BLOCKED}psoldevsje.com/af.php
• http://{BLOCKED}dv.com/img/1.php
• http://{BLOCKED}o-oum.com/twep.php
• http://{BLOCKED}rz.com/as.php
• http://{BLOCKED}zxrz.com/TPR0-QQWSKA-423PZS.php
• http://{BLOCKED}wieg.com/TPR0-QQWSKA-423PZS.php
• http://{BLOCKED}wieg.com/aa.php
• http://{BLOCKED}wiw.com/img/1.php
• http://{BLOCKED}kiu.com/odriwsd/forum.php
• http://{BLOCKED}bspace-apo.com/user-057708/forumv.php
• http://{BLOCKED}hppf.com/TPR0-QQWSKA-423PZS.php
• http://{BLOCKED}ppf.com/aa.php
• http://{BLOCKED}mn.com/images/1.php
• http://{BLOCKED}olderx.net

マルウェアは、実行後、自身を削除します。