Trojan.Win32.UPATRE.CCI

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスを追加します。

• "%User Temp%\NS-S76QL.tmp\NS-LMHKE.tmp" /SL4 $3015E {malware file path and name} 168116 93696 /password=jopasta /verysilent
• xcopy /Y /I "%User Temp%\NS-J2SGI.tmp\tmp\*" "%User Temp%\nsa888.tmp\"
• "%User Temp%\nsa888.tmp\msci.exe"
• %User Temp%\Win64Udp.exe
• %System%\cmd.exe /C "start "" %Application Data%\SEARCH~1\svcc.exe"
• %Application Data%\SEARCH~1\svcc.exe %Application Data%\SEARCH~1\svcc.exe
• %Application Data%\SEARCH~1\x64\install.exe -r install %Application Data%\SEARCH~1\x64\TeamViewerVPN.inf teamviewervpn
• %Application Data%\SEARCH~1\x64\install.exe restart teamviewervpn
• %System%\DllHost.exe /Processid:{F9717507-6651-4EDB-BFF7-AE615179BCCF}
• %System%\svchost.exe -k netsvcs

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

マルウェアは、以下のフォルダを作成します。

• %User Temp%\SearchCFX\x64
• %User Profile%\AppData
• %User Temp%\SearchCFX
• %User Temp%\{{GUID}}
• %User Temp%\NS-J2SGI.tmp\tmp
• %System Root%\Users
• %User Temp%\SearchCFX\x86

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %User Profile%フォルダは、現在ログオンしているユーザのプロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞" です。. %System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
svcc = "%Application Data%\SEARCH~1\svcc.exe"

他のシステム変更

マルウェアは、以下のファイルを削除します。

• %Application Data%\SearchCFX\xi6dcsu

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

マルウェアは、以下のフォルダを削除します。

• %User Temp%\nsuD597.tmp

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

マルウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Control\CLASS\{4D36E972-E325-11CE-BFC1-08002BE10318}\
0012
Characteristics = "137"

作成活動

マルウェアは、以下のファイルを作成します。

• %User Temp%\SearchCFX\x64\teamviewervpn.cat
• %User Temp%\SearchCFX\v7bsq2vo7cpu4fp.cfg
• %Application Data%\SearchCFX\msi.dll
• %Application Data%\SearchCFX
• %User Temp%\SearchCFX\x86\teamviewervpn.cat
• %User Temp%\SearchCFX\TeamViewer_StaticRes.dll
• %User Temp%\SearchCFX\x64\install.exe
• %User Temp%\mml6pe8c
• %User Temp%\SearchCFX\x64\teamviewervpn.sys
• %User Temp%\6vqtesfssl.bmp
• %User Temp%\NS-J2SGI.tmp\_iscrypt.dll
• %User Temp%\SearchCFX\x64
• %User Temp%\{{GUID}}\teamviewervpn.inf
• %User Temp%\SearchCFX\tv_x64.dll
• %Windows%\inf\setupapi.app.log
• %User Temp%\NS-J2SGI.tmp\_shfoldr.dll
• %User Temp%\Win64Udp.exe
• %User Temp%\{{GUID}}\teamviewervpn.sys
• %User Temp%\SearchCFX\TeamViewer_Resource_en.dll
• %User Temp%\SearchCFX\TeamViewer_Desktop.exe
• %User Temp%\SearchCFX\tv_w32.exe
• %User Temp%\SearchCFX\x86\TeamViewerVPN.inf
• %User Temp%\shell.dll
• %User Temp%\gf2uugm3
• %User Temp%\SearchCFX\3698hox9in5.bmp
• %User Temp%\SearchCFX\x86
• %User Temp%\NS-J2SGI.tmp\tmp\goopdate.dll
• %User Temp%\SearchCFX\x86\install.exe
• %User Temp%\SearchCFX\svcc.exe
• %User Temp%\SearchCFX\tv_w32.dll
• %User Temp%\SearchCFX\TeamViewer.ini
• %User Temp%\SearchCFX
• %User Temp%\NS-J2SGI.tmp\tmp\msci.exe
• %User Temp%\NS-J2SGI.tmp\_isdecmp.dll
• %User Temp%\SearchCFX.7z
• %Windows%\inf\setupapi.dev.log
• %User Temp%\SearchCFX\xi6dcsu
• %User Temp%\SearchCFX\x64\TeamViewerVPN.inf
• %User Temp%\SearchCFX\tv_x64.exe
• %User Temp%\SearchCFX\x86\teamviewervpn.sys
• %User Temp%\{{GUID}}\teamviewervpn.cat

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。. %Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

その他

マルウェアは、以下の不正なWebサイトにアクセスします。

• http://{BLOCKED}l.ru/tls/Win64Udp.exe
• http://ping3.{BLOCKED}ewer.com
• http://master9.{BLOCKED}ewer.com
• http://client.{BLOCKED}ewer.com
• {BLOCKED}253.132
• {BLOCKED}7.173.137

このウイルス情報は、自動解析システムにより作成されました。