BKDR_SISPROC.A

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

マルウェアは、ロシアでの2013年20カ国・地域（G20）首脳会合を装ったメールメッセージ内の不正な添付ファイルの検出です。マルウェアに感染したコンピュータのユーザは、個人情報の収集やコンピュータのセキュリティ侵害を受けることがあります。

マルウェアは、他のマルウェアに作成され、コンピュータに侵入します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

マルウェアは、実行後、自身を削除します。

侵入方法

マルウェアは、以下のマルウェアに作成され、コンピュータに侵入します。

• LNK_SISPROC.A

インストール

マルウェアは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

• %Application Data%\svchost.exe
• %ProgramData%\winupsvc.exe (for OS versions Windows Vista and higher)

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。. %ProgramData%フォルダは、Windows Vista および 7 の場合、通常、"C:\ProgramData"、Windows 2000、XP (32ビット)、Server 2003 の場合、"C:\Program Files"、Windows XP (64ビット) の場合、"C:\Program Files (x86)" です。)

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• c02b5fb4

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
Internet Explorer = "%Application Data%\svchost.exe"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Internet Explorer = "%ProgramData%\winupsvc.exe" (for OS versions Windows Vista and higher)

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Download and install plugin
• Uninstall itself
• Log off
• Restart the system

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• {BLOCKED}.{BLOCKED}.241.110:80
• {BLOCKED}.{BLOCKED}.153.157:443
• {BLOCKED}.{BLOCKED}.153.157:8080

情報漏えい

マルウェアは、以下の情報を収集します。

• Host Name
• OS Version
• Local IP Address
• User Name

その他

マルウェアは、実行後、自身を削除します。

マルウェアは、インストールされているオペレーティングシステム（OS）を確認するために、以下のレジストリ値を問い合わせます。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\ProductOptions\ProductType

マルウェアが実行するコマンドは、以下のとおりです。

• プラグインのダウンロードおよびインストール
• 自身のアンインストール
• ログオフ
• コンピュータの再起動

マルウェアが収集する情報は、以下のとおりです。

• ホスト名
• OSの種類
• ローカルIPアドレス
• ユーザ名