BKDR_SIREFEF.WE

2013年8月24日

解析者: Adrian Cofreros

プラットフォーム:

Windows 2000, Windows Server 2003, Windows XP (32-bit, 64-bit), Windows Vista (32-bit, 64-bit), Windows 7 (32-bit, 64-bit)

危険度:

ダメージ度:

感染力:

感染確認数:

情報漏えい:

マルウェアタイプ: バックドア型
破壊活動の有無: なし
暗号化:
感染報告の有無: はい

概要

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、実行後、自身を削除します。

詳細

ファイルサイズ 208,896 bytes

タイプ EXE

発見日 2013年2月23日

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

%AppDataLocal%\Google\Desktop\Install\{GUID}\{incomprehensible path}\{GUID}\GoogleUpdate.exe
%AppDataLocal%\Google\Desktop\Install\{GUID}\{incomprehensible path}\{GUID}\@
%Program Files%\Google\Desktop\Install\{GUID}\{incomprehensible path}\{GUID}\GoogleUpdate.exe
%Program Files%\Google\Desktop\Install\{GUID}\{incomprehensible path}\{GUID}\@

(註：%AppDataLocal%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local" です。. %Program Files%フォルダは、Windows 2000、Server 2003、XP (32ビット)、通常 Vista (32ビット) および 7 (32ビット) の場合、通常 "C:\Program Files"、Windows XP (64ビット)、Vista (64ビット) および 7 (64ビット) の場合、通常 "C:\Program Files (x86)" です。)

マルウェアは、以下のフォルダを作成します。

%AppDataLocal%\Google\Desktop
%AppDataLocal%\Google\Desktop\Install
%AppDataLocal%\Google\Desktop\Install\{GUID}
%AppDataLocal%\Google\Desktop\Install\{GUID}\{incomprehensible path}
%AppDataLocal%\Google\Desktop\Install\{GUID}\{incomprehensible path}\{GUID}
%AppDataLocal%\Google\Desktop\Install\{GUID}\{incomprehensible path}\{GUID}\U
%AppDataLocal%\Google\Desktop\Install\{GUID}\{incomprehensible path}\{GUID}\L
%Program Files%\Google\Desktop
%Program Files%\Google\Desktop\Install
%Program Files%\Google\Desktop\Install\{GUID}
%Program Files%\Google\Desktop\Install\{GUID}\{incomprehensible path}
%Program Files%\Google\Desktop\Install\{GUID}\{incomprehensible path}\{GUID}
%Program Files%\Google\Desktop\Install\{GUID}\{incomprehensible path}\{GUID}\U
%Program Files%\Google\Desktop\Install\{GUID}\{incomprehensible path}\{GUID}\L

マルウェアは、実行後、自身を削除します。

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SYSTEM\{CurrentControlSet}\
Services\{box character}etadpug

HKEY_LOCAL_MACHINE\SYSTEM\{CurrentControlSet}\
Services\{box character}etadpug\Parameters

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Google Update = "%AppDataLocal%\Google\Desktop\Install\{GUID}\{incomprehensible path 1}\{GUID}\GoogleUpdate.exe<"

HKEY_LOCAL_MACHINE\SYSTEM\{CurrentControlSet}\
Services\{box character}etadpug
Description = "Keeps your Google software up to date. If this service is disabled or stopped, your Google software will not be kept up to date, meaning security vulnerabilities that may arise cannot be fixed and features may not work. This service uninstalls itself when there is no Google software using it."

HKEY_LOCAL_MACHINE\SYSTEM\{CurrentControlSet}\
Services\{box character}etadpug
DisplayName = "Google Update Service (gupdate)"

HKEY_LOCAL_MACHINE\SYSTEM\{CurrentControlSet}\
Services\{box character}etadpug
ErrorControl = "0"

HKEY_LOCAL_MACHINE\SYSTEM\{CurrentControlSet}\
Services\{box character}etadpug
ImagePath = ""%Program Files%\Google\Desktop\Install\{GUID}\{incomprehensible path 1}\{GUID}\GoogleUpdate.exe" <"

HKEY_LOCAL_MACHINE\SYSTEM\{CurrentControlSet}\
Services\{box character}etadpug
ObjectName = "LocalSystem"

HKEY_LOCAL_MACHINE\SYSTEM\{CurrentControlSet}\
Services\{box character}etadpug
Start = "2"

HKEY_LOCAL_MACHINE\SYSTEM\{CurrentControlSet}\
Services\{box character}etadpug
Type = "16"

HKEY_LOCAL_MACHINE\SYSTEM\{CurrentControlSet}\
Services\{box character}etadpug\Parameters
Parameters = "176"

その他

マルウェアは、以下の不正なWebサイトにアクセスします。

{BLOCKED}187.87:16464