BKDR_MATSNU.AC

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

マルウェアは、実行後、自身を削除します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %User Temp%\{random folder name}\{random filename 1}.exe
• %User Temp%\{random filename 2}.pre - deleted afterwards

(註：%User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

マルウェアは、以下のフォルダを作成します。

• %User Temp%\{random folder name}

(註：%User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

マルウェアは、以下のプロセスにコードを組み込みます。

• svchost.exe
• ctfmon.exe
• explorer.exe

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{random} = "%User Temp%\{random folder name}\{random file name 1}.exe"

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Image File Execution Options\
taskmgr.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Image File Execution Options\
msconfig.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Image File Execution Options\
regedit.exe

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System
DisableRegistryTools = "1"

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System
DisableRegedit = "1"

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System
DisableTaskMgr = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\policies\
system
DisableRegedit = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\policies\
system
DisableTaskMgr = "1"

マルウェアは、以下のレジストリキーを削除します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Control\SafeBoot\Network

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Control\SafeBoot\Minimal

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Download and execute/load arbitrary files
• Update itself
• Update C&C servers
• Delete ntldr and ntdetect.com, then wipe MBR
• Lock/unlock computer for ransom

マルウェアは、コマンド＆コントロール（C&C）サーバに以下の情報を通知します。

• Disk serial number
• Attack status
• Location
• OS version

その他

マルウェアは、以下の不正なWebサイトにアクセスします。

• http://{BLOCKED}sscorn.net/TPR0-QQWSKA-423PZS.php
• http://{BLOCKED}olderx.net/TPR0-QQWSKA-423PZS.php
• http://p{BLOCKED}tory.net/TPR0-QQWSKA-423PZS.php
• http://{BLOCKED}olderxx.com/ag.php
• http://{BLOCKED}xf.com/TPR0-QQWSKA-423PZS.php
• http://{BLOCKED}rz.com/TPR0-QQWSKA-423PZS.php
• http://{BLOCKED}xrz.com/TPR0-QQWSKA-423PZS.php
• http://{BLOCKED}hppf.com/TPR0-QQWSKA-423PZS.php
• http://{BLOCKED}wieg.com/TPR0-QQWSKA-423PZS.php
• http://{BLOCKED}vw.com/TPR0-QQWSKA-423PZS.php
• http://{BLOCKED}vsje.com/TPR0-QQWSKA-423PZS.php
• http://{BLOCKED}dv.com/img/1.php

マルウェアは、実行後、自身を削除します。