BKDR_PLUGX.KA

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、実行後、自身を削除します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のフォルダを作成します。

• %System Root%\DOCUME~1
• %System Root%\DOCUME~1\Wilbert
• %User Profile%\LOCALS~1
• %User Temp%\RarSFX0
• %User Profile%\DRM
• %User Profile%\DRM\oLd

(註：%System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.. %User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞" です。.. %User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

他のシステム変更

マルウェアは、以下のファイルを削除します。

• %System Root%\fsguidll.exe
• %System Root%\fslapi.dll
• %System Root%\fslapi.dll.gui
• %User Temp%\RarSFX0\fsguidll.exe
• %User Temp%\RarSFX0\fslapi.dll
• %User Temp%\RarSFX0\fslapi.dll.gui

(註：%System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.. %User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

マルウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Internet Settings\
5.0\User Agent\Post Platform

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Internet Settings\
User Agent\Post Platform

作成活動

マルウェアは、以下のファイルを作成します。

• __tmp_rar_sfx_access_check_387843
• fsguidll.exe
• fslapi.dll
• fslapi.dll.gui
• %User Profile%\oLd\fslapi.dll
• %User Profile%\oLd\fslapi.dll.gui
• %User Profile%\oLd\fsguidll.exe
• %User Profile%\oLd\whsdyptsjxgsh

(註：%User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞" です。.)

その他

マルウェアは、以下の不正なWebサイトにアクセスします。

• http://www.{BLOCKED}k.top/BCF48D913219CA3CA73F06E8
• http://www.{BLOCKED}k.top/13620B05888747B1FDAC845B
• http://www.{BLOCKED}k.top/2B9F6EC2A0C3AB6E15E8E817
• {BLOCKED}8.0.1
• {BLOCKED}8.0.2
• {BLOCKED}8.0.3
• {BLOCKED}8.0.4
• {BLOCKED}8.0.5
• {BLOCKED}8.0.6
• {BLOCKED}6.232.116
• {BLOCKED}8.0.7
• {BLOCKED}8.0.8
• {BLOCKED}8.0.9
• {BLOCKED}8.0.10
• {BLOCKED}8.0.11
• {BLOCKED}8.0.12
• {BLOCKED}8.0.13
• {BLOCKED}8.0.14
• {BLOCKED}8.0.15
• {BLOCKED}8.0.16
• {BLOCKED}8.0.17
• {BLOCKED}8.0.18
• {BLOCKED}8.0.19
• {BLOCKED}8.0.20
• {BLOCKED}8.0.21
• {BLOCKED}8.0.22
• {BLOCKED}8.0.23
• {BLOCKED}8.0.24
• {BLOCKED}8.0.25
• {BLOCKED}8.0.26
• {BLOCKED}8.0.27
• {BLOCKED}8.0.28
• {BLOCKED}8.0.29
• {BLOCKED}8.0.30

マルウェアは、実行後、自身を削除します。

このウイルス情報は、自動解析システムにより作成されました。