PUA.Win32.AmmyyAdmin.C

プログラムは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

プログラムは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

プログラムは、以下のフォルダを追加します。

• %ProgramData%\AMMYY

(註：%ProgramData%フォルダは、マルチユーザーシステムにおいて任意のユーザがプログラムに変更を加えることができるプログラムファイルフォルダのバージョンです。これには、すべてのユーザのアプリケーションデータが含まれます。Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData" です。Windows Server 2003(32-bit)、2000(32-bit)、XPの場合、通常 "C:\Documents and Settings\All Users" です。 )

プログラムは、以下のファイルを作成します。

• %ProgramData%\AMMYY\hr
• %ProgramData%\AMMYY\hr3
• %ProgramData%\AMMYY\settings3.bin
• {Malware Path}\{Malware Name}.log

(註：%ProgramData%フォルダは、マルチユーザーシステムにおいて任意のユーザがプログラムに変更を加えることができるプログラムファイルフォルダのバージョンです。これには、すべてのユーザのアプリケーションデータが含まれます。Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData" です。Windows Server 2003(32-bit)、2000(32-bit)、XPの場合、通常 "C:\Documents and Settings\All Users" です。 )

他のシステム変更

プログラムは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Ammyy\
Admin
hr = {Random Hex}

HKEY_LOCAL_MACHINE\SOFTWARE\Ammyy\
Admin
hr = {Random Hex}

HKEY_CURRENT_USER\Software\Ammyy\
Admin
hr3 = {Random Hex}

HKEY_LOCAL_MACHINE\SOFTWARE\Ammyy\
Admin
hr3 = {Random Hex}

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Control\SafeBoot\Network\
AmmyyAdmin_52C
{Default} = Service

その他

プログラムは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Ammyy

HKEY_LOCAL_MACHINE\SOFTWARE\Ammyy

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Control\SafeBoot\Network\
AmmyyAdmin_52C

プログラムは、以下の不正なWebサイトにアクセスします。

• http://{BLOCKED}yy.com/
• It uses the following routers that can be used to establish connections:
  • {BLOCKED}.235:443,80,8080
  • {BLOCKED}.242:443,80,8080
  • {BLOCKED}.122:443,80,8080

プログラムは、以下を実行します。

• It uses remote desktop feature to facilitate remote access to another computer.
• It uses the following version of Ammyy Admin software:
  • Ammyy Admin v3.5 - Free
• It allows establishing direct TCP connections.
• It allows users to specify external TCP ports.
• It allows the user to specify a TCP port to accept incoming connections by IP address.
• It allows users to select the audio playback and recording device to use during remote sessions.
• It can run under the SYSTEM account on Windows Vista, 7, 2003, or 2008.
• It allows the user to access files using the current user account's privileges.
• It allows users to customize the client-side experience of remote sessions with the following:
  • Start "wait for session" mode automatically
  • Show tooltip
  • Disable desktop background
  • Disable visual effects
  • Disable desktop composition
  • Access Permissions
  • Video system speed test
  • Path for accessing of File Manager
• It allows the user to establish persistency by creating the following service:
  • Service name: AmmyyAdmin
    Display name: AmmyyAdmin
    Image Path: "{Malware Path}\{Malware Filename}" -service