TROJ_RECSLURP.UIT

マルウェアは、大量送信されたスパムメールに添付されて、コンピュータに侵入します。 マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、ワーム活動の機能を備えていません。

マルウェアは、バックドア活動の機能を備えていません。

マルウェアは、情報収集する機能を備えていません。

マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

マルウェアは、大量送信されたスパムメールに添付されて、コンピュータに侵入します。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

• %System%\csrss.exe
• %System%\rundll32.exe
• %System%\svchost.exe
  or
  
• %Application Data%\csrss.exe
• %Application Data%\rundll32.exe
• %Application Data%\svchost.exe

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.. %Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• Global\{GUID}
• Local\{GUID}

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{Registry ValueName} = "%Application Data%\csrss.exe" or "%System%\csrss.exe"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{Registry ValueName} = "%Application Data%\rundll32.exe" or "%System%\rundll32.exe"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{Registry ValueName} = "%Application Data%\svchost.exe" or "%System%\svchost.exe"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Microsoft Windows = "{Malware's path}\{malware filename}.exe" ← if it fails to drop any copies

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Software\Microsoft\Shared Police
MachineParamCPUU = "{hex data}"

HKEY_CURRENT_USER\Software\Microsoft\
Software\Microsoft\Shared Police
MachineParam = "{hex data}"

感染活動

マルウェアは、ワーム活動の機能を備えていません。

バックドア活動

マルウェアは、バックドア活動の機能を備えていません。

情報漏えい

マルウェアは、情報収集する機能を備えていません。

その他

マルウェアは、以下のWebサイトにアクセスしてインターネット接続を確認します。

• plus.smtp.mail.yahoo.com
• smtp.gmail.com

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• {BLOCKED}.{BLOCKED}..147.95
• {BLOCKED}.{BLOCKED}..213.8
• {BLOCKED}.{BLOCKED}.220.164
• {BLOCKED}.{BLOCKED}.169.175
• {BLOCKED}.{BLOCKED}.77.9
• {BLOCKED}.{BLOCKED}.131.131
• {BLOCKED}.{BLOCKED}.112.136
• {BLOCKED}.{BLOCKED}.112.139
• {BLOCKED}.{BLOCKED}.68.219
• {BLOCKED}.{BLOCKED}.187.116
• {BLOCKED}.{BLOCKED}..188
• {BLOCKED}.{BLOCKED}.138.246
• {BLOCKED}.{BLOCKED}.68.138
• {BLOCKED}.{BLOCKED}.95.18
• {BLOCKED}.{BLOCKED}.37.97
• {BLOCKED}.{BLOCKED}.177.158
• {BLOCKED}.{BLOCKED}.10.131
• {BLOCKED}.{BLOCKED}.235.66
• {BLOCKED}.{BLOCKED}.145.130
• {BLOCKED}.{BLOCKED}.151.130
• {BLOCKED}.{BLOCKED}.209.182
• {BLOCKED}.{BLOCKED}.29.125
• {BLOCKED}.{BLOCKED}.89.154
• {BLOCKED}.{BLOCKED}.176.101
• {BLOCKED}.{BLOCKED}.242.108
• {BLOCKED}.{BLOCKED}.192.179
• {BLOCKED}.{BLOCKED}.87.47
• {BLOCKED}.{BLOCKED}.109.163
• {BLOCKED}.{BLOCKED}.244.234
• {BLOCKED}.{BLOCKED}.32.221
• {BLOCKED}.{BLOCKED}.46.52
• {BLOCKED}.{BLOCKED}.143.253
• {BLOCKED}.{BLOCKED}.187.95
• {BLOCKED}.{BLOCKED}.154.79
• {BLOCKED}.{BLOCKED}.88.20
• {BLOCKED}.{BLOCKED}.57.89
• {BLOCKED}.{BLOCKED}.254.44
• {BLOCKED}.{BLOCKED}.52.10
• {BLOCKED}.{BLOCKED}.213.139
• {BLOCKED}.{BLOCKED}.208.64
• {BLOCKED}.{BLOCKED}.145.90
• {BLOCKED}.{BLOCKED}.234.251
• {BLOCKED}.{BLOCKED}.104.51
• {BLOCKED}.{BLOCKED}.26.16
• {BLOCKED}.{BLOCKED}.218.87
• {BLOCKED}.{BLOCKED}.222.149
• {BLOCKED}.{BLOCKED}.98.84
• {BLOCKED}.{BLOCKED}.228.174
• {BLOCKED}.{BLOCKED}.200.29
• {BLOCKED}.{BLOCKED}.191.74
• {BLOCKED}.{BLOCKED}.0.140
• {BLOCKED}.{BLOCKED}.15.41
• {BLOCKED}.{BLOCKED}.138.132
• {BLOCKED}.{BLOCKED}.130.70
• {BLOCKED}.{BLOCKED}.132.6
• {BLOCKED}.{BLOCKED}.78.252
• {BLOCKED}.{BLOCKED}.103.16
• {BLOCKED}.{BLOCKED}.167.132
• {BLOCKED}.{BLOCKED}.24.102
• {BLOCKED}.{BLOCKED}.26.179
• {BLOCKED}.{BLOCKED}.229.141
• {BLOCKED}.{BLOCKED}.78.140
• {BLOCKED}.{BLOCKED}.219.110
• {BLOCKED}.{BLOCKED}.250.1
• {BLOCKED}.{BLOCKED}.226.142
• {BLOCKED}.{BLOCKED}.33.20

「{Registry ValueName}」は、以下のいずれかとなります。

• Service Host Process for Windows
• Host-process Windows (Rundll32.exe)
• Client Server Runtime Process

マルウェアは、以下のシステムファイルと自身のコピーとを置き換えようとします。

• %System%\csrss.exe
• %System%\rundll32.exe
• %System%\svchost.exe

マルウェアは、感染コンピュータについての情報は送信しません。

マルウェアは、ルートキット機能を備えていません。

マルウェアは、脆弱性を利用した感染活動を行いません。