BKDR_SIMDA.RS

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Application Data%\ScanDisc.exe
• %Application Data%\{random}.exe
• %User Temp%\{random number}.tmp

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。. %User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

マルウェアは、以下のコンポーネントファイルを作成します。

• %Application Data%\{random}.reg
• %Application Data%\mcp.ico
• %Application Data%\Mozilla\Firefox\Profiles\{random}\searchplugins\search.xml
• %Desktop%\Computer.lnk
• %User Temp%\{random}.sys - encrypted
• %User Temp%\{random}-{random}.exe - TSPY_SIMDA.SUS
• %User Temp%\{random number}.tmp - TROJ_SIMDA.SU
• %User Temp%\{random}.exe - TROJ_SIMDA.SUSF

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。. %Desktop%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\デスクトップ"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\デスクトップ" です。. %User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\RunOnce
{random name} = "%Application Data%\{random}.exe"

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System
EnableLUA = "0"

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows
update = "shortcut"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System
ConsentPromptBehaviorUser = "0"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System
ConsentPromptBehaviorAdmin = "0"

マルウェアは、以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Tcpip\Parameters\
Interfaces\{GUID}
NameServer = "8.8.8.8"

(註：変更前の上記レジストリ値は、「""」となります。)

バックドア活動

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• {BLOCKED}t.aa555s55sk5yw5u.com

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスし、ファイルをダウンロードします。

• http://{BLOCKED}1.highguarded.com/?abbr=RTK&action=download&setupType=drop64&setupFileName=dropper64.exe
• http://{BLOCKED}1.randomstring.com/update_c1eec.exe

情報漏えい

マルウェアは、以下の情報を収集します。

• Computer Name
• Network Adapter
• SusClientId
• Product Id
• Windows Install Date
• Volume Information
• Language Information

その他

マルウェアは、以下のプロセスの存在を確認します。

• wspass.exe
• wireshark.exe
• windbg.exe
• vba32arkit.exe
• tcpdump.exe
• ollydbg.exe
• observer.exe
• irise.exe
• dumpcap.exe
• cv.exe
• apis32.exe
• ZxSniffer.exe
• WinDump.exe
• VBoxTray.exe
• VBoxService.exe
• Syser.exe
• SymRecv.exe
• Sniffer.exe
• SbieSvc.exe
• SbieCtrl.exe
• SandboxieRpcSs.exe
• SandboxieDcomLaunch.exe
• SUPERAntiSpyware.exe
• Regshot.exe
• PEBrowseDbg.exe
• IrisSvc.exe
• EtherD.exe
• ERUNT.exe
• ERDNT.exe
• DrvLoader.exe
• CamtasiaStudio.exe
• CamRecorder.exe
• Aircrack-ng Gui.exe