Trojan.Win32.NYMERIA.MLU

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、実行後、自身を削除します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスを追加します。

• %System%\cmd.exe /c icacls "%Application Data%\amd64_microsoft-windows-deskadp_31bf3856ad364e35_6.1.7600.16385_none_0ba0c327983ae555" /inheritance:e /deny "*S-1-1-0:(R,REA,RA,RD)" & icacls "%Application Data%\amd64_microsoft-windows-deskadp_31bf3856ad364e35_6.1.7600.16385_none_0ba0c327983ae555" /inheritance:e /deny "*S-1-5-7:(R,REA,RA,RD)" & icacls "%Application Data%\amd64_microsoft-windows-deskadp_31bf3856ad364e35_6.1.7600.16385_none_0ba0c327983ae555" /inheritance:e /deny "{username}:(R,REA,RA,RD)"
• taskeng.exe {EAF34550-D823-4145-A264-56A25B5AB47B} S-1-5-21-2407829820-1079796033-203259571-500:{computername}\{username}:Interactive:[1]
• icacls "%Application Data%\amd64_microsoft-windows-deskadp_31bf3856ad364e35_6.1.7600.16385_none_0ba0c327983ae555" /inheritance:e /deny "*S-1-1-0:(R,REA,RA,RD)"
• icacls "%Application Data%\amd64_microsoft-windows-deskadp_31bf3856ad364e35_6.1.7600.16385_none_0ba0c327983ae555" /inheritance:e /deny "*S-1-5-7:(R,REA,RA,RD)"
• icacls "%Application Data%\amd64_microsoft-windows-deskadp_31bf3856ad364e35_6.1.7600.16385_none_0ba0c327983ae555" /inheritance:e /deny "{username}:(R,REA,RA,RD)"
• %Application Data%\amd64_microsoft-windows-deskadp_31bf3856ad364e35_6.1.7600.16385_none_0ba0c327983ae555\ir41_qcx.exe %Application Data%\amd64_microsoft-windows-deskadp_31bf3856ad364e35_6.1.7600.16385_none_0ba0c327983ae555\ir41_qcx.exe

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

マルウェアは、以下のフォルダを作成します。

• %Application Data%\amd64_microsoft-windows-deskadp_31bf3856ad364e35_6.1.7600.16385_none_0ba0c327983ae555

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

他のシステム変更

マルウェアは、以下のレジストリキーを削除します。

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Enum\IDE\CdRomNECVMWar_VMware_IDE_CDR10_______________1.00____\
5&3a794e10&0&1.0.0\CustomPropertyHwIdKey

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Enum\PCIIDE\IDEChannel\
4&c5d1198&0&1\CustomPropertyHwIdKey

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Enum\PCI\VEN_1000&DEV_0054&SUBSYS_197615AD&REV_01\
4&1F16FEF7&0&00A8\CustomPropertyHwIdKey

作成活動

マルウェアは、以下のファイルを作成します。

• %Application Data%\amd64_microsoft-windows-deskadp_31bf3856ad364e35_6.1.7600.16385_none_0ba0c327983ae555\ir41_qcx.exe

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

その他

マルウェアは、以下の不正なWebサイトにアクセスします。

• http://{BLOCKED}p.su

マルウェアは、実行後、自身を削除します。

このウイルス情報は、自動解析システムにより作成されました。