TROJ_BUBNIX.SMB

マルウェアは、リモートサイトから他の不正プログラムにダウンロードされ、コンピュータに侵入します。

マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

マルウェアは、リモートサイトから以下の不正プログラムによりダウンロードされ、コンピュータに侵入します。

• TROJ_SMALL.LJX

インストール

マルウェアは、以下の通常のプロセスにスレッドを組み込みます。

• Services.exe  

自動実行方法

マルウェアは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\

Services\{Malware file name}
(Default) =  

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\

Services\Tcpip\Parameters
MaxHashTable = "10000"
MaxUserPort = "0xfffe"
TcpFinWaitDealy = "10"
TcpTimeWaitDelay = "10"

感染活動

マルウェアは、以下のDNSサーバにクエリを送信し、SMTPサーバにアクセスします。

その他

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• http://{BLOCKED}za-flowers.biz/index.php?board=129.131  
• http://{BLOCKED}za-flowers.biz/index.php?topic=173.172
• http://{BLOCKED}za-flowers.biz/entry.php?
• http://{BLOCKED}za-flowers.biz/login.php?user=
• http://{BLOCKED}za-flowers.biz/forums.php?fid=112
• http://{BLOCKED}za-flowers.biz/memberlist.php?mode=viewprofile&u=242
• http://{BLOCKED}za-flowers.biz/download.php?file=3....
• http://{BLOCKED}za-flowers.biz/logout.php?sessid={Random}