PE_RAMNIT.RE-O

ウイルスは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ウイルスは、すべての実行中プロセスに組み込まれ、システムのプロセスに常駐します。

ウイルスは、セキュリティ製品に関連するレジストリキーを削除します。これにより、ウイルスは、感染コンピュータにインストールされているセキュリティ製品に検出されることなく、自身の不正活動を実行することが可能になります。

ウイルスは、不正リモートユーザからリモートで受信する特定のコマンドを実行します。これにより、感染コンピュータおよび同コンピュータ上の情報は危険にさらされることとなります。 ウイルスは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

ウイルスは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ウイルスは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %User Temp%\{random filename 1}.exe
• %AppDataLocal%\{random folder name}\{random filename 2}.exe
• %User Startup%\{random filename 3}.exe

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.. %AppDataLocal%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local" です。. %User Startup%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞\Start Menu\Programs\Startup" 、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、" C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup" です。.)

ウイルスは、以下のファイルを作成します。

• %AppDataLocal%\{random folder name}\px{number}.tmp - deleted afterwards
• %User Temp%\~TM{numbers}.tmp – deleted afterwards

(註：%AppDataLocal%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local" です。. %User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

ウイルスは、以下のプロセスを追加します。

• svchost.exe

ウイルスは、以下のフォルダを作成します。

• %AppDataLocal%\{random folder name}

(註：%AppDataLocal%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local" です。)

ウイルスは、すべての実行中プロセスに組み込まれ、システムのプロセスに常駐します。

ウイルスは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• {GUID}

自動実行方法

ウイルスは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{random filename 2} = "%AppDataLocal%\{random folder name}\{random filename 2}.exe"

ウイルスは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
Userinit = "%System%\userinit.exe,,%AppDataLocal%\{random folder name}\{random filename 2}.exe"

(註：変更前の上記レジストリ値は、「"%System%\userinit.exe,"」となります。)

ウイルスは、Windows起動時に自動実行されるよう＜User Startup＞フォルダ内に以下のファイルを作成します。

• %User Startup%\{random filename 3}.exe

(註：%User Startup%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞\Start Menu\Programs\Startup" 、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、" C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup" です。.)

他のシステム変更

ウイルスは、以下のファイルを削除します。

• %User Temp%\{random filename 1}.exe:Zone.Identifier

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

ウイルスは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion
jfghdug_ooetvtgk = "TRUE"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\policies\
system
EnableLUA = "0"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
UacDisableNotify = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
AntiVirusOverride = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
AntiVirusDisableNotify = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
FirewallDisableNotify = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
FirewallOverride = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
UpdatesDisableNotify = "1"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile
EnableFirewall = "0"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile
DoNotAllowExceptions = "0"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile
DisableNotifications = "1"

ウイルスは、以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\wuauserv
Start = "4"

(註：変更前の上記レジストリ値は、「"2"」となります。)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\MpsSvc
Start = "4"

(註：変更前の上記レジストリ値は、「"2"」となります。)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\WinDefend
Start = "4"

(註：変更前の上記レジストリ値は、「"2"」となります。)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\wscsvc
Start = "4"

(註：変更前の上記レジストリ値は、「"2"」となります。)

ウイルスは、セキュリティ製品に関連するレジストリキーを削除します。

HKEY_LOCAL_MACHINE\Microsoft\Windows\
CurrentVersion\Run
Windows Defender = "{windows defender path}"

ウイルスは、以下のレジストリキーを削除します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Control\SafeBoot

ファイル感染

ウイルスは、以下の形式のファイルに感染します。

• EXE
• DLL

ウイルスが感染活動する際、ネットワーク共有フォルダ内の以下のファイル形式のファイルに感染します。

• EXE
• DLL

バックドア活動

ウイルスは、不正リモートユーザからの以下のコマンドを実行します。

• Download and execute files
• Capture screenshots
• Update itself
• Retrieve stolen cookies
• Remove cookies
• Send stolen information
• Shut Down Operating System

ウイルスは、以下のWebサイトにアクセスし、情報を送受信します。

• https://{random generated domain}.com

情報漏えい

ウイルスは、コンピュータ内に以下のFTPクライアントまたはファイルマネージャのアカウント情報が保存されている場合、これらのアカウント情報を収集します。

• Windows Total commander
• WS FTP
• Cute FTP
• FlashXp
• FileZilla
• FtpCommander
• BulletproofFTP
• SmartFtp
• TurboFtp
• FFFtp
• Coffee cup ftp
• Core ftp
• FtpExplorer
• Frigate 3
• WebSitePublisher
• ClassicFTP
• Fling
• SoftFx FTP
• Directory opus
• LeapFtp
• WinScp
• 32bit FTP
• FtpControl
• NetDrive

情報収集

ウイルスは、以下のファイル内に収集した情報を保存します。

• %All Users Profile%\Application Data\{random filename 4}.log
• %AppDataLocal%\{random filename 5}.log - number of logs varies, contain encrypted data

(註：%All Users Profile%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\All Users”、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\ProgramData” です。.. %AppDataLocal%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local" です。)

その他

ウイルスは、以下のWebサイトにアクセスしてインターネット接続を確認します。

• google.com
• bing.com
• yahoo.com

ウイルスが作成する以下のファイルは、後で削除されます。

• %AppDataLocal%\{random folder name}\px{number}.tmp
• %User Temp%\~TM{numbers}.tmp

ウイルスは、不正リモートユーザからの以下のコマンドを実行します。

• ファイルのダウンロードおよび実行
• スクリーンショットの取得
• 自身の更新
• 窃取したクッキーの取得
• クッキーの削除
• 窃取した情報の送信
• オペレーティングシステム（OS）の終了

ウイルスが収集した情報を保存する以下のファイルは、暗号化されたデータを含みます。ログファイル数は不定です。

• %AppDataLocal%\{random filename 5}.log

ウイルスは、以下のアプリケーションからクッキーを窃取します。

• Google Chrome
• Apple Safari
• Mozilla Firefox
• Macromedia Flash Player
• Opera
• Internet Explorer

ウイルスは、以下のいずれかのURLを持つ銀行のWebサイトに不正コードを組み込み、重要な銀行情報を窃取します。

• https://ibanking.banksa.com.au/ibank/loginPage*
• https://ibanking.banksa.com.au/ibank/logonAction*
• https://ibanking.banksa.com.au/ibank/myInformationLanding*
• https://ibanking.banksa.com.au/ibank/viewAccountPortfolio*
• https://ibanking.banksa.com.au/ibank/editContactDetails*
• *etrade.com*
• *chase.com*
• *onlinecreditcenter6.com/consumergen*
• *53.com*
• *americanexpress.com*

ウイルスは、以下のセキュリティ対策アプリケーションを終了します。

• AVG Antivirus 2013
• Avast
• ESET Nod32 Antivirus
• Norton Antivirus
• Bitdefender

ウイルスは、コンピュータの初期設定のブラウザを確認するのに以下のレジストリをクエリします。

• HKEY_CLASSES_ROOT\http\shell\open\command

ウイルスは、特権を昇格するのに以下の脆弱性を利用します。

• Windows 特権の昇格の脆弱性(CVE-2014-4113)

このウイルスに感染したファイルは「PE_RAMNIT.SM」として検出されます。

ウイルスは、ルートキット機能を備えていません。