BKDR_TOFSEE.BYX

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、実行後、自身を削除します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
MSConfig = "%User Profile%\yyhhvgtt.exe "

他のシステム変更

マルウェアは、以下のファイルを削除します。

• %System Root%\log_plg_antibot.txt
• %System Root%\log_plg_proxy.txt
• %User Temp%\log_plg_proxy.txt
• %System Root%\log_plg_webm.txt
• %User Temp%\log_plg_webm.txt
• %System Root%\log_plg_locs.txt
• %System Root%\log_plg_host2.txt
• %User Temp%\log_plg_host2.txt
• %System Root%\log_plg_text.txt
• %User Temp%\log_plg_text.txt
• %System Root%\log_plg_smtp.txt
• %User Temp%\log_plg_smtp.txt
• %System Root%\log_plg_blist.txt
• %User Temp%\log_plg_blist.txt
• %System Root%\log_plg_miner.txt
• %User Temp%\log_plg_miner.txt
• %System Root%\log_plg_img.txt
• %User Temp%\log_plg_img.txt
• %System Root%\log_plg_spread1.txt
• %User Temp%\log_plg_spread1.txt
• %System Root%\log_plg_spread2.txt
• %User Temp%\log_plg_spread2.txt
• %System Root%\log_plg_sys.txt
• %User Temp%\log_plg_sys.txt
• %System Root%\log_plg_webb.txt
• %User Temp%\log_plg_webb.txt
• %System Root%\log_plg_p2p.txt
• %User Temp%\log_plg_p2p.txt
• %Program Files%\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll

(註：%System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.. %User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.. %Program Files%フォルダは、プログラムファイルのフォルダで、いずれのオペレーティングシステム(OS)でも通常、 "C:\Program Files"、64bitのOS上で32bitのアプリケーションを実行している場合、 "C:\Program Files (x86)" です。.)

マルウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
DeviceControl

HKEY_CURRENT_USER\Software\WinRAR

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
DeviceControl
DevData0 = "{random values}"

HKEY_CURRENT_USER\Software\Microsoft\
DeviceControl
DevData1 = "{random values}"

HKEY_CURRENT_USER\Software\Microsoft\
DeviceControl
DevData2 = "{random values}"

HKEY_CURRENT_USER\Software\Microsoft\
DeviceControl
DevData3 = "{random values}"

HKEY_CURRENT_USER\Software\WinRAR
HWID = "{random values}"

マルウェアは、以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\Eventlog\Application\
ESENT
EventMessageFile = "%System%\ESENT.dll"

(註：変更前の上記レジストリ値は、「{random values}」となります。)

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\Eventlog\Application\
ESENT
CategoryMessageFile = "%System%\ESENT.dll"

(註：変更前の上記レジストリ値は、「{random values}」となります。)

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\Eventlog\Application\
ESENT
CategoryCount = "1"

(註：変更前の上記レジストリ値は、「10」となります。)

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\Eventlog\Application\
ESENT
TypesSupported = "7"

(註：変更前の上記レジストリ値は、「7」となります。)

マルウェアは、以下のレジストリキーを削除します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Explorer\
Browser Helper Objects\{18DF081C-E8AD-4283-A596-FA578C2EBDC3}

HKEY_CLASSES_ROOT\CLSID\{18DF081C-E8AD-4283-A596-FA578C2EBDC3}\
InprocServer32

HKEY_CLASSES_ROOT\CLSID\{18DF081C-E8AD-4283-A596-FA578C2EBDC3}\
ProgID

HKEY_CLASSES_ROOT\CLSID\{18DF081C-E8AD-4283-A596-FA578C2EBDC3}\
Programmable

HKEY_CLASSES_ROOT\CLSID\{18DF081C-E8AD-4283-A596-FA578C2EBDC3}\
TypeLib

HKEY_CLASSES_ROOT\CLSID\{18DF081C-E8AD-4283-A596-FA578C2EBDC3}\
VersionIndependentProgID

HKEY_CLASSES_ROOT\CLSID\{18DF081C-E8AD-4283-A596-FA578C2EBDC3}

作成活動

マルウェアは、以下のファイルを作成します。

• %User Profile%\yyhhvgtt.exe
• %User Profile%\Local Settings:init
• %User Temp%\HWID
• %User Temp%\01868.tmp

(註：%User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞" です。.. %User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

その他

マルウェアは、以下の不正なWebサイトにアクセスします。

• {BLOCKED}1.193.242
• {BLOCKED}4.91.76
• {BLOCKED}.137.79
• {BLOCKED}.112.32
• {BLOCKED}0.2.199
• {BLOCKED}.232.11
• {BLOCKED}0.159.21
• {BLOCKED}188.126
• {BLOCKED}.118.36
• {BLOCKED}.8.199
• {BLOCKED}3.0.68
• {BLOCKED}.182.27
• {BLOCKED}3.0.67
• {BLOCKED}.192.45
• {BLOCKED}37.120
• {BLOCKED}.192.27
• {BLOCKED}.8.167
• {BLOCKED}.186.150
• {BLOCKED}.0.77
• {BLOCKED}229.72
• {BLOCKED}2.252.75
• {BLOCKED}81.57
• {BLOCKED}26.145
• {BLOCKED}.62.201
• {BLOCKED}91.113
• {BLOCKED}.195.228
• {BLOCKED}.34.86
• {BLOCKED}.255.133
• {BLOCKED}1.216.108

マルウェアは、実行後、自身を削除します。

このウイルス情報は、自動解析システムにより作成されました。