TROJ_BAYROB.VUS

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %System Root%\ervmnajxb\ddiric
• %System Root%\ervmnajxb\i1qasu
• %System Root%\ervmnajxb\iwuktty1smy

(註：%System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.)

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %System Root%\ervmnajxb\ag1xqz1x3zzlulm6tbzin.exe
• %System Root%\ervmnajxb\lngtclnx.exe
• %System Root%\ervmnajxb\zksrpfa.exe

(註：%System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.)

マルウェアは、以下のフォルダを作成します。

• %System Root%\ervmnajxb
• %Windows%\ervmnajxb

(註：%System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.. %Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

自動実行方法

マルウェアは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\Human Instrumentation Port Modules
Type = 00000110

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\Human Instrumentation Port Modules
Start = 00000002

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\Human Instrumentation Port Modules
ErrorControl = 00000000

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\Human Instrumentation Port Modules
ImagePath = %System Root%\ervmnajxb\lngtclnx.exe

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\Human Instrumentation Port Modules
DisplayName = "Human Instrumentation Port Modules"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\Human Instrumentation Port Modules
ObjectName = "LocalSystem"

マルウェアは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services
Human Instrumentation Port Modules =

他のシステム変更

マルウェアは、インストールの過程で、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center\Svc
FirewallDisableNotify = 00000001

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center\Svc
AntiVirusDisableNotify = 00000001

その他

マルウェアは、以下の不正なWebサイトにアクセスします。

• http://agains{BLOCKED}olics.com/index.php
• http://chisty{BLOCKED}tsmen.ru/index.php
• http://cleans{BLOCKED}men.com/index.php
• http://kamcha{BLOCKED}ajivayapriroda.ru/index.php
• http://navsto{BLOCKED}index.php
• http://rps-sv{BLOCKED}n.com/services/countrylookup
• http://solita{BLOCKED}ks.com/index.php
• http://topaut{BLOCKED}s.ru/index.php