TROJ_BAYROB.VUR

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %Windows%\rorayerkx\cfg
• %Windows%\rorayerkx\lck
• %Windows%\rorayerkx\rng
• %Windows%\rorayerkx\run
• %Windows%\rorayerkx\tst

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Windows%\ltipubkrrk.exe
• %Windows%\vufirixwcxvo.exe

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

マルウェアは、以下のフォルダを作成します。

• %Windows%\rorayerkx

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

自動実行方法

マルウェアは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\Shadow Coordinator Peer Experience
Type = 00000110

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\Shadow Coordinator Peer Experience
Start = 00000002

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\Shadow Coordinator Peer Experience
ErrorControl = 00000000

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\Shadow Coordinator Peer Experience
ImagePath = %Windows%\vufirixwcxvo.exe

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\Shadow Coordinator Peer Experience
DisplayName = "Shadow Coordinator Peer Experience"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\Shadow Coordinator Peer Experience
ObjectName = "LocalSystem"

マルウェアは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services
Shadow Coordinator Peer Experience =

他のシステム変更

マルウェアは、インストールの過程で、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center\Svc
FirewallDisableNotify = 00000001

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center\Svc
AntiVirusDisableNotify = 00000001

その他

マルウェアは、以下の不正なWebサイトにアクセスします。

• http://185.{BLOCKED}73.77/index.php
• http://alon{BLOCKED}l.net/index.php
• http://alon{BLOCKED}e.net/index.php
• http://ball{BLOCKED}.net/index.php
• http://ball{BLOCKED}.net/index.php
• http://dece{BLOCKED}blood.net/index.php
• http://dece{BLOCKED}daily.net/index.php
• http://deep{BLOCKED}y.ru/index.php
• http://deep{BLOCKED}.net/index.php
• http://deep{BLOCKED}e.net/index.php
• http://fill{BLOCKED}.net/index.php
• http://fill{BLOCKED}.net/index.php
• http://lear{BLOCKED}e.net/index.php
• http://lear{BLOCKED}e.net/index.php
• http://life{BLOCKED}y.net/index.php
• http://life{BLOCKED}.net/index.php
• http://life{BLOCKED}.ru/index.php
• http://life{BLOCKED}.net/index.php
• http://life{BLOCKED}e.net/index.php
• http://long{BLOCKED}.net/index.php
• http://long{BLOCKED}.ru/index.php
• http://long{BLOCKED}e.net/index.php
• http://long{BLOCKED}e.net/index.php
• http://lord{BLOCKED}epings.ru/index.php
• http://mout{BLOCKED}l.net/index.php
• http://much{BLOCKED}.net/index.php
• http://piec{BLOCKED}e.net/index.php
• http://plan{BLOCKED}dy.net/index.php
• http://plan{BLOCKED}l.net/index.php
• http://plan{BLOCKED}l.ru/index.php
• http://push{BLOCKED}d.net/index.php
• http://said{BLOCKED}t.net/index.php
• http://said{BLOCKED}e.net/index.php
• http://sens{BLOCKED}e.net/index.php
• http://shal{BLOCKED}er.net/index.php
• http://stic{BLOCKED}ut.net/index.php
• http://stic{BLOCKED}ut.net/index.php
• http://stic{BLOCKED}s.net/index.php
• http://stic{BLOCKED}l.net/index.php
• http://stic{BLOCKED}ne.net/index.php
• http://take{BLOCKED}l.net/index.php
• http://take{BLOCKED}.net/index.php
• http://take{BLOCKED}.ru/index.php
• http://till{BLOCKED}.net/index.php
• http://trie{BLOCKED}e.net/index.php
• http://very{BLOCKED}.net/index.php
• http://wait{BLOCKED}.net/index.php
• http://week{BLOCKED}y.net/index.php
• http://yoos{BLOCKED}t/index.php
• http://your{BLOCKED}.net/index.php
• http://your{BLOCKED}.net/index.php
• http://your{BLOCKED}.net/index.php
• http://your{BLOCKED}e.net/index.php
• http://your{BLOCKED}.net/index.php