MATSNU

このバックドアのファミリは、ファイルのダウンロードおよび実行や自身と自身のコマンド＆コントロール（C&C）サーバの更新等のさまざまなコマンドを実行することができます。これらのコマンドは、すべてバックドア型マルウェアに共通したものです。しかし、「MATSNU」の特徴的な機能は、コマンドを介して身代金（ランサム）を要求するために、コンピュータをロックまたは解除できることです。

実行されると、マルウェアは、自身のコピーがWindows起動時に自動実行されるように、またレジストリ編集やタスクマネジャ等のプロセスを無効にするために、特定のレジストリを改変します。またマルウェアは、特定のレジストリを削除し、ユーザがセーフモードでコンピュータを起動できないようにします。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Application Data%\{random folder name}\{random file name 1}.exe
• %User Temp%\{random file name 2}.pre

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。. %User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Image File Execution Options\
taskmgr.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Image File Execution Options\
msconfig.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Image File Execution Options\
regedit.exe

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{random} = "%Application Data%\{random folder name}\{random file name 1}.exe"

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System
DisableRegistryTools = "1"

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System
DisableRegedit = "1"

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System
DisableTaskMgr = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\policies\
system
DisableRegedit = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\policies\
system
DisableTaskMgr = "1"

マルウェアは、以下のレジストリキーを削除します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Control\SafeBoot\Network

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Control\SafeBoot\Minimal

その他

マルウェアは、以下の不正なWebサイトにアクセスします。

• http://{BLOCKED}hi.com/images/1.php
• http://{BLOCKED}isx.com/ca.php
• http://{BLOCKED}isxf.com/TPR0-QQWSKA-423PZS.php
• http://{BLOCKED}ldezovc.com/img/1.php
• http://{BLOCKED}solde.com/images/1.php
• http://{BLOCKED}rfe.com/img/1.php
• http://{BLOCKED}rz.com/TPR0-QQWSKA-423PZS.php
• http://{BLOCKED}z.com/ad.php
• http://{BLOCKED}pvsje.com/TPR0-QQWSKA-423PZS.php
• http://{BLOCKED}soldevsje.com/af.php
• http://{BLOCKED}xdv.com/img/1.php
• http://{BLOCKED}-oum.com/twep.php
• http://{BLOCKED}xrz.com/as.php
• http://{BLOCKED}zxrz.com/inbox.php
• http://{BLOCKED}zxrz.com/TPR0-QQWSKA-423PZS.php
• http://{BLOCKED}esscorn.net/TPR0-QQWSKA-423PZS.php
• http://{BLOCKED}fwieg.com/TPR0-QQWSKA-423PZS.php
• http://{BLOCKED}wieg.com/aa.php
• http://{BLOCKED}wieg.com/inbox.php
• http://{BLOCKED}wiw.com/img/1.php
• http://{BLOCKED}dkiu.com/odriwsd/forum.php
• http://{BLOCKED}ebspace-apo.com/inbox.php
• http://{BLOCKED}ebspace-apo.com/user-057708/forumv.php
• http://{BLOCKED}ehppf.com/TPR0-QQWSKA-423PZS.php
• http://{BLOCKED}nlines.com/inbox.php
• http://{BLOCKED}hppf.com/aa.php
• http://{BLOCKED}omn.com/images/1.php
• http://{BLOCKED}online.com/inbox.php
• http://{BLOCKED}solderx.net
• http://{BLOCKED}solderx.net/TPR0-QQWSKA-423PZS.php
• http://{BLOCKED}solderxx.com/ag.php
• http://{BLOCKED}solderxx.com/inbox.php
• http://{BLOCKED}story.net/TPR0-QQWSKA-423PZS.php
• http://{BLOCKED}rect-proxy.com/inbox.php
• http://{BLOCKED}nvw.com/TPR0-QQWSKA-423PZS.php
• http://{BLOCKED}-gt.com/inbox.php