BKDR_SCYTI.A

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %Program Files%\dataup\dataup.ini
• %Program Files%\dataup\NTSVC.ocx
• %Program Files%\taskvmx\taskvmx.exe

(註：%Program Files%フォルダは、プログラムファイルのフォルダで、いずれのオペレーティングシステム(OS)でも通常、 "C:\Program Files"、64bitのOS上で32bitのアプリケーションを実行している場合、 "C:\Program Files (x86)" です。.)

マルウェアは、以下のファイルを作成し実行します。

• %Program Files%\dataup\dataup.exe
• %Program Files%\regtool\regtool.exe

(註：%Program Files%フォルダは、プログラムファイルのフォルダで、いずれのオペレーティングシステム(OS)でも通常、 "C:\Program Files"、64bitのOS上で32bitのアプリケーションを実行している場合、 "C:\Program Files (x86)" です。.)

マルウェアは、以下のフォルダを作成します。

• %Program Files%\dataup
• %Program Files%\regtool
• %Program Files%\taskvmx

(註：%Program Files%フォルダは、プログラムファイルのフォルダで、いずれのオペレーティングシステム(OS)でも通常、 "C:\Program Files"、64bitのOS上で32bitのアプリケーションを実行している場合、 "C:\Program Files (x86)" です。.)

自動実行方法

マルウェアは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\windowsmanagementservice
ImagePath = "{Malware Path\Malware Filename.exe}" /svc

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\windowsmanagementservice
DisplayName = Windows Management Service

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\windowsmanagementservice
Description = Provides management service for system.

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\Dataup
ImagePath = %Program Files%\dataup\dataup.exe

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\Dataup
DisplayName = Dataup Service

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\Dataup
Description = Detect version consistency of client and server, and get the latest version from the server.

他のシステム変更

マルウェアは、インストールの過程で以下のレジストリ値を追加します。

HKLM\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
cpx = "%Program Files%\cpx\cpx.exe" -starup

HKLM\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
msrtn32 = "%Program Files%\msrtn32\msrtn32.exe" -startup=smartcpx -check=60

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスし、不正なファイルをダウンロードして実行します。

• http://d1.{BLOCKED}edtrk.com/p/dataup.zip
• http://d1.{BLOCKED}edtrk.com/p/regtool.zip
• http://d1.{BLOCKED}edtrk.com/p/taskvmx.zip

マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %Program Files%\dataup\dataup.zip
• %Program Files%\regtool\regtool.zip
• %Program Files%\taskvmx\taskvmx.zip

(註：%Program Files%フォルダは、プログラムファイルのフォルダで、いずれのオペレーティングシステム(OS)でも通常、 "C:\Program Files"、64bitのOS上で32bitのアプリケーションを実行している場合、 "C:\Program Files (x86)" です。.)

その他

マルウェアは、以下の不正なWebサイトにアクセスします。

• http://{BLOCKED}b.com/report.php
• http://www.{BLOCKED}be.com/databack.php
• http://{BLOCKED}st.com:8080/arg.lp
• http://www.{BLOCKED}7.com/report.php
• http://www.{BLOCKED}n.com:8080/rep001.lp