BKDR_SIMDA.SU

マルウェアは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。 マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、実行後、自身を削除します。

マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。 ただし、情報公開日現在、このWebサイトにはアクセスできません。

ただし、情報公開日現在、このWebサイトにはアクセスできません。

侵入方法

マルウェアは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %User Profile%\Application Data\{random}.reg
• %User Profile%\Application Data\mcp.ico
• %User Profile%\Application Data\Mozilla\Firefox\Profiles\{random}\searchplugins\search.xml
• %Desktop%\Computer.lnk
• %User Temp%\{random}.sys - encrypted
• %User Temp%\{random}-{random}.exe - detected as TSPY_SIMDA.SUS
• %User Temp%\{random number}.tmp - detected as TROJ_SIMDA.SU
• %User Temp%\{random}.exe - detected as TROJ_SIMDA.SUSF

(註：%User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞" です。.. %Desktop%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Desktop"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\Desktop" です。.. %User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %User Profile%\Application Data\ScanDisc.exe
• %User Profile%\Application Data\{random}.exe
• %User Temp%\{Random Number}.tmp

(註：%User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞" です。.. %User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

マルウェアは、実行後、自身を削除します。

自動実行方法

マルウェアは、作成されたコンポーネントがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\RunOnce
{random name} = "%User Profile%\Application Data\{random name}.exe"

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System
ConsentPromptBehaviorAdmin = "0"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System
ConsentPromptBehaviorUser = "0"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System
EnableLUA = "0"

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows
update = "shortcut"

マルウェアは、以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Tcpip\Parameters\
Interfaces\{GUID}
NameServer = "8.8.8.8"

(註：変更前の上記レジストリ値は、「""」となります。)

バックドア活動

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• {BLOCKED}.{BLOCKED}.116.81
• report.{pseudorandom}.com
• update.{pseudorandom}.com
• {BLOCKED}.{BLOCKED}.196.94
• {BLOCKED}.{BLOCKED}.173.222
• {BLOCKED}.{BLOCKED}.176.187

ただし、情報公開日現在、このWebサイトにはアクセスできません。

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスし、不正なファイルをダウンロードして実行します。

• http://update1.{BLOCKED}erlrcn.com/?abbr=RTK&action=download&setupType=umx&setupFileName=process_64.exe
• http://update1.{BLOCKED}ring.com/update_c1eec.exe

ただし、情報公開日現在、このWebサイトにはアクセスできません。

HOSTSファイルの改変

マルウェアは、コンピュータのHOSTSファイルを改変します。これにより、ユーザは、以下のWebサイトにアクセスすると、別のWebサイトに誘導されます。

• google-analytics.com
• bing.com
• findgala.com
• ad-emea.doubleclick.net
• statcounter.com
• ::1 localhost
• au.bing.com : {BLOCKED}.{BLOCKED}.68.97
• ca.bing.com : {BLOCKED}.{BLOCKED}.68.97
• dk.bing.com : {BLOCKED}.{BLOCKED}.68.97
• gb.bing.com : {BLOCKED}.{BLOCKED}.68.97
• google.at : {BLOCKED}.{BLOCKED}.87.103
• google.be : {BLOCKED}.{BLOCKED}.87.148
• google.ca : {BLOCKED}.{BLOCKED}.87.152
• google.ch : {BLOCKED}.{BLOCKED}.87.155
• google.co.in : {BLOCKED}.{BLOCKED}.87.103
• google.co.jp : {BLOCKED}.{BLOCKED}.87.103
• google.co.nz : {BLOCKED}.{BLOCKED}.87.103
• google.co.uk : {BLOCKED}.{BLOCKED}.87.103
• google.co.za : {BLOCKED}.{BLOCKED}.87.103
• google.com : {BLOCKED}.{BLOCKED}.87.103
• google.com.ar : {BLOCKED}.{BLOCKED}..87.103
• google.com.au : {BLOCKED}.{BLOCKED}..87.104
• google.com.br : {BLOCKED}.{BLOCKED}..87.109
• google.com.tr : {BLOCKED}.{BLOCKED}..87.103
• google.cz : {BLOCKED}.{BLOCKED}.87.103
• google.de : {BLOCKED}.{BLOCKED}.87.160
• google.dk : {BLOCKED}.{BLOCKED}.87.123
• google.es : {BLOCKED}.{BLOCKED}.87.103
• google.fi : {BLOCKED}.{BLOCKED}.87.103
• google.fr : {BLOCKED}.{BLOCKED}.87.154
• google.gr : {BLOCKED}.{BLOCKED}.87.103
• google.hu : {BLOCKED}.{BLOCKED}.87.103
• google.ie : {BLOCKED}.{BLOCKED}.87.170
• google.it : {BLOCKED}.{BLOCKED}.87.173
• google.nl : {BLOCKED}.{BLOCKED}.87.103
• google.no : {BLOCKED}.{BLOCKED}.87.103
• google.pl : {BLOCKED}.{BLOCKED}.87.103
• google.pt : {BLOCKED}.{BLOCKED}.87.103
• google.ro : {BLOCKED}.{BLOCKED}.87.103
• google.se : {BLOCKED}.{BLOCKED}.87.103
• gr.bing.com : {BLOCKED}.{BLOCKED}.68.97
• ir.bing.com : {BLOCKED}.{BLOCKED}.68.97
• it.bing.com : {BLOCKED}.{BLOCKED}.68.97
• pt.bing.com : {BLOCKED}.{BLOCKED}.68.97
• ro.bing.com : {BLOCKED}.{BLOCKED}.68.97
• www.bing.com : {BLOCKED}.{BLOCKED}.68.97
• www.google.at : {BLOCKED}.{BLOCKED}.87.147
• www.google.be : {BLOCKED}.{BLOCKED}.87.149
• www.google.ca : {BLOCKED}.{BLOCKED}.87.153
• www.google.ch : {BLOCKED}.{BLOCKED}.87.158
• www.google.co.in : {BLOCKED}.{BLOCKED}.87.147
• www.google.co.jp : {BLOCKED}.{BLOCKED}.87.147
• www.google.co.nz : {BLOCKED}.{BLOCKED}.87.147
• www.google.co.uk : {BLOCKED}.{BLOCKED}.87.147
• www.google.co.za : {BLOCKED}.{BLOCKED}.87.147
• www.google.com : {BLOCKED}.{BLOCKED}.87.99
• www.google.com.ar : {BLOCKED}.{BLOCKED}.87.147
• www.google.com.au : {BLOCKED}.{BLOCKED}.87.147
• www.google.com.br : {BLOCKED}.{BLOCKED}.87.150
• www.google.com.tr : {BLOCKED}.{BLOCKED}.87.147
• www.google.cz : {BLOCKED}.{BLOCKED}.87.147
• www.google.de : {BLOCKED}.{BLOCKED}.87.161
• www.google.dk : {BLOCKED}.{BLOCKED}.87.160
• www.google.es : {BLOCKED}.{BLOCKED}.87.147
• www.google.fi : {BLOCKED}.{BLOCKED}.87.147
• www.google.fr : {BLOCKED}.{BLOCKED}.87.134
• www.google.gr : {BLOCKED}.{BLOCKED}.87.147
• www.google.hu : {BLOCKED}.{BLOCKED}.87.147
• www.google.ie : {BLOCKED}.{BLOCKED}.87.177
• www.google.it : {BLOCKED}.{BLOCKED}.87.147
• www.google.nl : {BLOCKED}.{BLOCKED}.87.147
• www.google.no : {BLOCKED}.{BLOCKED}.87.147
• www.google.pl : {BLOCKED}.{BLOCKED}.87.147
• www.google.pt : {BLOCKED}.{BLOCKED}.87.147
• www.google.ro : {BLOCKED}.{BLOCKED}.87.147
• www.google.se : {BLOCKED}.{BLOCKED}.87.147

情報漏えい

マルウェアは、以下の情報を収集します。

• Windows Install Date
• Volume Information
• Language Information
• Computer Name
• Network Adapter
• SusClientId
• Product Id

その他

マルウェアは、以下のプロセスの存在を確認します。

• cv.exe
• irise.exe
• IrisSvc.exe
• wireshark.exe
• dumpcap.exe
• ZxSniffer.exe
• Aircrack-ng Gui.exe
• observer.exe
• tcpdump.exe
• WinDump.exe
• wspass.exe
• Regshot.exe
• ollydbg.exe
• PEBrowseDbg.exe
• windbg.exe
• DrvLoader.exe
• SymRecv.exe
• Syser.exe
• apis32.exe
• VBoxService.exe
• VBoxTray.exe
• SbieSvc.exe
• SbieCtrl.exe
• SandboxieRpcSs.exe
• SandboxieDcomLaunch.exe
• SUPERAntiSpyware.exe
• ERUNT.exe
• ERDNT.exe
• EtherD.exe
• Sniffer.exe
• CamtasiaStudio.exe
• CamRecorder.exe