BKDR_ZACCESS.YM

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。 マルウェアは、リモートサイトから他のマルウェアまたはグレイウェアにダウンロードされ、コンピュータに侵入します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

マルウェアは、実行後、自身を削除します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、リモートサイトから以下のマルウェアまたはグレイウェアにダウンロードされ、コンピュータに侵入します。

• TSPY_FAREIT.TO

インストール

マルウェアは、以下のファイルを作成します。

• %System Root%\RECYCLER\S-1-5-18\${random}\@ - Detected as Mal_Xin12
• %System Root%\RECYCLER\S-1-5-18\${random}\n - Detected as TROJ_SIREFEF.AFP
• %System Root%\RECYCLER\S-1-5-21-{random}\$I{random} - Contains stolen information
• %System Root%\RECYCLER\S-1-5-21-{random}\$R{random} - Contains stolen information
• %System Root%\RECYCLER\S-1-5-21-{random}\${random}\@ - Detected as Mal_Xin12
• %System Root%\RECYCLER\S-1-5-21-{random}\${random}\n - Detected as TROJ_SIREFEF.AFP

(註：%System Root%フォルダは、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。)

マルウェアは、以下のフォルダを作成します。

• %System Root%\RECYCLER\S-1-5-18\${random}
• %System Root%\RECYCLER\S-1-5-21-{random}
• %System Root%\RECYCLER\S-1-5-21-{random}\${random}

(註：%System Root%フォルダは、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。)

マルウェアは、以下の通常のプロセスにスレッドを組み込みます。

• services.exe

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Classes\
CLSID\{random}

HKEY_CURRENT_USER\Software\Classes\
CLSID\{random}\InprocServer32

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Classes\
CLSID\{random}\InprocServer32
ThreadingModel = "Both"

HKEY_CURRENT_USER\Software\Classes\
CLSID\{random}\InprocServer32
(Default) = "%System Root%\RECYCLER\S-1-5-21-{random}\$BD{random}\n."

マルウェアは、以下のレジストリ値を変更します。

HKEY_CLASSES_ROOT\CLSID\{random}\
InprocServer32
(Default) = "%System Root%\RECYCLER\S-1-5-18\$BD{random}\n."

(註：変更前の上記レジストリ値は、「%System%\wbem\fastprox.dll」となります。)

HKEY_CLASSES_ROOT\CLSID\{random}\
InProcServer32
(Default) = "%System Root%\RECYCLER\S-1-5-21-{random}\$BD{random}\n"

(註：変更前の上記レジストリ値は、「%System%\SHELL32.dll」となります。)

HKEY_CLASSES_ROOT\CLSID\{random}\
InProcServer32
ThreadingModel = "Both"

(註：変更前の上記レジストリ値は、「Apartment」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{random}\InprocServer32
(Default) = "%System Root%\RECYCLER\S-1-5-18\$BD{random}\n."

(註：変更前の上記レジストリ値は、「%System%\wbem\fastprox.dll」となります。)

マルウェアは、以下のレジストリキーを削除します。

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Run\
Windows Defender

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Enum\Root\LEGACY_SHAREDACCESS

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Enum\Root\LEGACY_WSCSVC

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\wscsvc

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Get drive information
• Download arbitrary files
• Execute files

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• {BLOCKED}.{BLOCKED}.215.6
• http://{BLOCKED}terbeaclesaapgcbzecj.com/ZmfaT1RVMmmgdj0xLjImaWQ9MTE5MzM1OTYyNiZhaWQ9MzA1MzQmc2lkPTAmb3M9NS4xLTMywvmueI4V

プロセスの終了

マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• MSASCui.exe
• MpCmdRun.exe
• MisSrv.exe
• msseces.exe
• wsctfy.exe
• MsMpSvc
• windefend
• SharedAccess
• iphlpsvc
• wscsvc
• mpssvc
• bfe

その他

マルウェアは、実行後、自身を削除します。

マルウェアは、以下のWebサイトにアクセスし、感染コンピュータの位置情報を取得します。

• http:// j.maxmind.com/app/geoip.js