TROJ_HYDRAQ.SMA

マルウェアは、リモートサイトから他のマルウェアまたはグレイウェアにダウンロードされ、コンピュータに侵入します。

ただし、情報公開日現在、このWebサイトにはアクセスできません。

侵入方法

マルウェアは、リモートサイトから以下のマルウェアまたはグレイウェアにダウンロードされ、コンピュータに侵入します。

• JS_DLOADER.FIS

インストール

マルウェアは、以下のコンポーネントファイルを作成します。

• %System%\Rasmon.dll - also detected as TROJ_HYDRAQ.SMA

(註：%System%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では "C:\Windows\System32" です。)

自動実行方法

マルウェアは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\RaS{Random}
ImagePath = %System%\svchost.exe -k netsvcs

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Ups{Random}
ImagePath = %System%\svchost.exe -k netsvcs

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\Software\Sun\
1.1.2
AppleTlk =  

HKEY_LOCAL_MACHINE\Software\Sun\
1.1.2
IsoTp =  

バックドア活動

マルウェアは、以下のポートを開きます。

• TCP port 443

ダウンロード活動

ただし、情報公開日現在、このWebサイトにはアクセスできません。

その他

このマルウェアのコードから、マルウェアは、以下の機能を備えています。

• Clear event logs
• Execute MDM.EXE using %System%\cmd.exe
• Execute other files
• List drives
• List services
• Send and receive data from a remote site
• Terminate processes
• Terminate/delete services

(註：%System%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では "C:\Windows\System32" です。)

マルウェアは、以下の不正なWebサイトにアクセスします。

• 360.{BLOCKED}meunix.com - points to the loopback address, 127.0.0.1/127.0.0.2
• {BLOCKED}.{BLOCKED}.5.164