• Email
• Facebook
• Twitter
• Google+
• Linkedin

BKDR_BUTERAT.YHK

---

• マルウェアタイプ: バックドア型
• 破壊活動の有無: なし
• 暗号化:  
• 感染報告の有無: はい

---

  概要

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

---

  詳細

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のフォルダを作成します。

• %User Profile%\Application Data\LSinglePro
• %User Profile%\LSinglePro\Temporary Internet Files
• %User Profile%\LSinglePro\TFExecuter4
• %User Profile%\LSinglePro\cookies
• %User Profile%\cookies\61362320
• %User Profile%\cookies\58688588
• %User Profile%\cookies\59591878
• %User Profile%\cookies\56459203

(註：%User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞" です。.)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
GuaZhuan = "{malware path and file name} -autorun "

他のシステム変更

マルウェアは、以下のファイルを改変します。

• %Windows%\inf\intl.PNF

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

マルウェアは、以下のファイルを削除します。

• %User Profile%\LSinglePro\log.txt

(註：%User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞" です。.)

マルウェアは、以下のフォルダを削除します。

• %System Root%\Temporary Files
• %User Profile%\LSinglePro\Temporary Internet Files
• %User Profile%\LSinglePro\cookies

(註：%System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.. %User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞" です。.)

マルウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\CHtmlDialog\
International

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\International\CpMRU

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\CHtmlDialog\
International
AutoDetect = "1"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\International\CpMRU
Enable = "1"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\International\CpMRU
Size = "a"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\International\CpMRU
InitHits = "64"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\International\CpMRU
Factor = "14"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\International
W2KLpk = "1"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\International
W2KLpk = "0"

作成活動

マルウェアは、以下のファイルを作成します。

• %User Profile%\TFExecuter4\HLR_cfg.ini.bak
• %User Profile%\TFExecuter4\SearchEngine.ini.bak
• %User Profile%\TFExecuter4\GlobalConfig.ini.bak
• %User Profile%\LSinglePro\blhash.dat.bak
• %User Profile%\LSinglePro\runtask.dat.bak
• %User Profile%\LSinglePro\bts.dat.bak
• %User Profile%\LSinglePro\bts_tm.dat.bak
• %User Profile%\LSinglePro\bts_tmh.dat.bak
• %User Profile%\LSinglePro\bl.dat.bak

(註：%User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞" です。.)

その他

マルウェアは、以下の不正なWebサイトにアクセスします。

• http://ap4.{BLOCKED}ngbao.cn
• http://ap4.{BLOCKED}ngbao.cn/redirect/CFGUpdate?{random characters}
• http://ap4.{BLOCKED}ngbao.cn/{random path}
• http://ap4.{BLOCKED}ngbao.cn/clt/config/cfg_6.5.ini?{random characters}
• http://cltres.{BLOCKED}ngbao.cn/clt/config/cfg_6.5.ini?{random characters}
• http://cltres.{BLOCKED}ngbao.cn/clt/config/SearchEngine_6.5.ini?{random characters}
• http://cltres.{BLOCKED}ngbao.cn/clt/config/GlobalConfig_6.5.ini?{random characters}
• http://cltres.{BLOCKED}ngbao.cn/as/down/clt/config/blhash_6.5.dat?{random characters}
• http://ap4.{BLOCKED}ngbao.cn/as/down/clt/config/blhash_6.5.dat?{random characters}
• http://cltres.{BLOCKED}ngbao.cn/redirect/CFGUpdate?{random characters}
• http://ap4.{BLOCKED}ngbao.cn/clt/config/runtask_6.5.dat?{random characters}
• http://ap2.{BLOCKED}0.com
• http://cltres.{BLOCKED}ngbao.cn/clt/config/runtask_6.5.dat?{random characters}
• http://ap4.{BLOCKED}ngbao.cn/as/down/clt/config/bts.dat?{random characters}
• http://ap4.{BLOCKED}ngbao.cn/as/down/clt/config/bts_tm.dat?{random characters}
• http://cltres.{BLOCKED}ngbao.cn/as/down/clt/config/bts_tm.dat?{random characters}
• http://ap4.{BLOCKED}ngbao.cn/as/down/clt/config/bts_tmh.dat?{random characters}
• http://ap4.{BLOCKED}ngbao.cn/clt/config/bl_6.5.dat?{random characters}
• http://cltres.{BLOCKED}ngbao.cn/clt/config/bl_6.5.dat?{random characters}
• http://ap2.{BLOCKED}ngbao.cn
• {BLOCKED}.110.5
• {BLOCKED}.219.243
• {BLOCKED}0.136.220
• {BLOCKED}208.198
• {BLOCKED}.1.2
• {BLOCKED}.251.251
• {BLOCKED}7.42.34
• {BLOCKED}226.50
• {BLOCKED}.109.136
• {BLOCKED}1.7.190
• {BLOCKED}8.23.144
• {BLOCKED}3.229.5
• {BLOCKED}7.216.183
• {BLOCKED}3.160.200
• {BLOCKED}3.234.21
• {BLOCKED}3.237.3
• {BLOCKED}9.134.224
• {BLOCKED}.139.142
• {BLOCKED}.28.96
• {BLOCKED}.38.32
• {BLOCKED}.221.145
• {BLOCKED}6.22.240
• {BLOCKED}.13.182
• {BLOCKED}9.39.179
• {BLOCKED}0.121.64
• {BLOCKED}.36.106

このウイルス情報は、自動解析システムにより作成されました。

---

  対応方法

ご利用はいかがでしたか？　アンケートにご協力ください