BKDR_ANDROM.YYPL
Windows
- マルウェアタイプ: バックドア型
- 破壊活動の有無: なし
- 暗号化: はい
- 感染報告の有無: はい
概要
マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。
マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。
詳細
侵入方法
マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。
インストール
マルウェアは、以下のプロセスを追加します。
- msiexec.exe
マルウェアは、以下のプロセスに自身を組み込み、システムのプロセスに常駐します。
- created msiexec.exe
バックドア活動
マルウェアは、不正リモートユーザからの以下のコマンドを実行します。
- Start a Process
- Download a file directed by C&C server, save it as %User Temp%\KB{8 random numbers}.exe and execute it
- Copy %System%\cdosys.dll to %User Temp%\cdo{random number}.dll and load it
- Uninstall itself
(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.. %System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)
マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。
- http://{BLOCKED}trivia.ru/atomic.php
- http://{BLOCKED}entia.ru/diff.php
情報漏えい
マルウェアは、以下の情報を収集します。
- Root Volume Serial Number
- Operating System Version
- Local IP Address
- Administrator privileges
その他
マルウェアは、以下のWebサイトにアクセスしてインターネット接続を確認します。
- update.microsoft.com
- microsoft.com
- google.com
- bing.com
- yahoo.com
マルウェアは、不正リモートユーザからの以下のコマンドを実行します。
- プロセスの開始
- C＆Cサーバからの指示でファイルをダウンロードして、"%User Temp%\KB{8 random numbers}.exe" として保存して実行する
- "%System%\cdosys.dll" を "%User Temp%\cdo{random number}.dll" へコピーして読み込む
- 自身のアンインストール
マルウェアは以下の情報を収集します。
- ルートボリュームのシリアル番号
- オペレーティングシステム（OS）情報
- プライベートIPアドレス
- 管理者権限
自身が仮想環境下またはエミュレーションソフトウェア、ネットワーク監視ソフトウェアに関連する以下のプロセスが実行されているどうかを確認します。そして、確認された場合、無限にスリープを実行します。
- avpui.exe
- filemon.exe
- netmon.exe
- perl.exe
- prl_cc.exe
- prl_tools_service.exe
- prl_tools.exe
- procmon.exe
- python.exe
- regmon.exe
- sandboxiedcomlaunch.exe
- sandboxierpcss.exe
- sharedintapp.exe
- vboxservice.exe
- vboxtray.exe
- vmsrvc.exe
- vmtoolsd.exe
- vmusrvc.exe
- vmwareservice.exe
- vmwareuser.exe
- wireshark.exe
システム言語が以下のいずれかの場合、マルウェアは自身の活動を実行しません。
- ロシア語
- ウクライナ語
- ベラルーシ語
- カザフ語
マルウェアは、以下のネットワークタイムプロトコル（NTP）サーバに接続します。
- pool.ntp.org
- africa.pool.ntp.org
- oceania.pool.ntp.org
- asia.pool.ntp.org
- south-america.pool.ntp.org
- north-america.pool.ntp.org
- europe.pool.ntp.org
マルウェアは、ルートキット機能を備えていません。
マルウェアは、脆弱性を利用した感染活動を行いません。
対応方法
手順 1
Windows XP、Windows Vista および Windows 7 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。
手順 2
このマルウェアもしくはアドウェア等の実行により、手順中に記載されたすべてのファイル、フォルダおよびレジストリキーや値がコンピュータにインストールされるとは限りません。インストールが不完全である場合の他、オペレーティングシステム（OS）の条件によりインストールがされない場合が考えられます。手順中に記載されたファイル／フォルダ／レジストリ情報が確認されない場合、該当の手順の操作は不要ですので、次の手順に進んでください。
手順 3
Windowsをセーフモードで再起動します。
手順 4
以下のファイルを検索し削除します。
- %User Temp%\KB{8 random numbers}.exe
- %User Temp%\cdo{random number}.dll
手順 5
コンピュータを通常モードで再起動し、最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、「BKDR_ANDROM.YYPL」と検出したファイルの検索を実行してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。
ご利用はいかがでしたか？ アンケートにご協力ください