BKDR_ANDROM.YYSMPA
Windows
- マルウェアタイプ: バックドア型
- 破壊活動の有無: なし
- 暗号化: はい
- 感染報告の有無: はい
概要
マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。 マルウェアは、他のマルウェアに作成され、コンピュータに侵入します。
マルウェアは、特定のレジストリ値を削除するため、アプリケーションやプログラムが正しく起動しなくなります。
マルウェアは、ワーム活動の機能を備えていません。
マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。 ただし、情報公開日現在、このWebサイトにはアクセスできません。
詳細
侵入方法
マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。
マルウェアは、以下のマルウェアに作成され、コンピュータに侵入します。
インストール
マルウェアは、以下のプロセスを追加します。
- msiexec.exe
マルウェアは、以下のプロセスにコードを組み込みます。
- created msiexec.exe
他のシステム変更
マルウェアは、以下のレジストリ値を削除します。
HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Image File Execution Options\
taskmgr.exe
Debugger = "taskmgr.exe"
感染活動
マルウェアは、ワーム活動の機能を備えていません。
バックドア活動
マルウェアは、不正リモートユーザからの以下のコマンドを実行します。
- Start a Process
- Download a file directed by C&C server, save it as %User Temp%\KB{8 random numbers}.exe and execute it
- Copy %System%\cdosys.dll to %User Temp%\cdo{random number}.dll and load it
- Uninstall itself
(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.. %System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)
マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。
- http://{BLOCKED}entia.ru/diff.php
- http://{BLOCKED}trivia.ru/atomic.php
ただし、情報公開日現在、このWebサイトにはアクセスできません。
情報漏えい
マルウェアは、以下の情報を収集します。
- Root Volume Serial Number
- Operating System Version
- Local IP Address
- Administrator privileges
その他
マルウェアは、以下のWebサイトにアクセスしてインターネット接続を確認します。
- update.microsoft.com
- microsoft.com
- google.com
- bing.com
- yahoo.com
マルウェアは、不正リモートユーザからの以下のコマンドを実行します。
- プロセスの開始
- C＆Cサーバからの指示でファイルをダウンロードして、"%User Temp%\KB{8 random numbers}.exe" として保存して実行する
- "%System%\cdosys.dll" を "%User Temp%\cdo{random number}.dll" へコピーして読み込む
- 自身のアンインストール
マルウェアは以下の情報を収集します。
- ルートボリュームのシリアル番号
- オペレーティングシステム（OS）情報
- プライベートIPアドレス
- 管理者権限
自身が仮想環境下またはエミュレーションソフトウェア、ネットワーク監視ソフトウェアに関連する以下のプロセスが実行されているどうかを確認します。そして、確認された場合、無限にスリープを実行します。
- avpui.exe
- filemon.exe
- netmon.exe
- perl.exe
- prl_cc.exe
- prl_tools_service.exe
- prl_tools.exe
- procmon.exe
- python.exe
- regmon.exe
- sandboxiedcomlaunch.exe
- sandboxierpcss.exe
- sharedintapp.exe
- vboxservice.exe
- vboxtray.exe
- vmsrvc.exe
- vmtoolsd.exe
- vmusrvc.exe
- vmwareservice.exe
- vmwareuser.exe
- wireshark.exe
システム言語が以下のいずれかの場合、マルウェアは自身の活動を実行しません。
- ロシア語
- ウクライナ語
- ベラルーシ語
- カザフ語
マルウェアは、以下のネットワークタイムプロトコル（NTP）サーバに接続します。
- pool.ntp.org
- africa.pool.ntp.org
- oceania.pool.ntp.org
- asia.pool.ntp.org
- south-america.pool.ntp.org
- north-america.pool.ntp.org
- europe.pool.ntp.org
マルウェアの現在のファイル名が以下のいずれかの場合、マルウェアは自身の不正活動を継続しません。
- C:\t.exe
- C:\myapp.exe
- C:\self.exe
- C:\file.exe
- C:\sample.exe
マルウェアは、ルートキット機能を備えていません。
マルウェアは、脆弱性を利用した感染活動を行いません。
対応方法
手順 1
Windows XP、Windows Vista および Windows 7 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。
手順 2
このマルウェアもしくはアドウェア等の実行により、手順中に記載されたすべてのファイル、フォルダおよびレジストリキーや値がコンピュータにインストールされるとは限りません。インストールが不完全である場合の他、オペレーティングシステム（OS）の条件によりインストールがされない場合が考えられます。手順中に記載されたファイル／フォルダ／レジストリ情報が確認されない場合、該当の手順の操作は不要ですので、次の手順に進んでください。
手順 3
Windowsをセーフモードで再起動します。
手順 4
「BKDR_ANDROM.YYSMPA」で検出したファイル名を確認し、そのファイルを終了します。
- すべての実行中プロセスが、Windows のタスクマネージャに表示されない場合があります。この場合、"Process Explorer" などのツールを使用しマルウェアのファイルを終了してください。"Process Explorer" については、こちらをご参照下さい。
- 検出ファイルが、Windows のタスクマネージャまたは "Process Explorer" に表示されるものの、削除できない場合があります。この場合、コンピュータをセーフモードで再起動してください。
セーフモードについては、こちらをご参照下さい。 - 検出ファイルがタスクマネージャ上で表示されない場合、次の手順にお進みください。
手順 5
以下のファイルを検索し削除します。
- %User Temp%\KB{8 random numbers}.exe
- %User Temp%\cdo{random number}.dll
手順 6
コンピュータを通常モードで再起動し、最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、「BKDR_ANDROM.YYSMPA」と検出したファイルの検索を実行してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。
手順 7
以下の削除されたレジストリキーまたはレジストリ値をバックアップを用いて修復します。
※註：マイクロソフト製品に関連したレジストリキーおよびレジストリ値のみが修復されます。このマルウェアもしくはアドウェア等が同社製品以外のプログラムも削除した場合には、該当プログラムを再度インストールする必要があります。
- In HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\taskmgr.exe
- Debugger = "taskmgr.exe"
- Debugger = "taskmgr.exe"
ご利用はいかがでしたか？ アンケートにご協力ください