TROJ_BAYROB.SM1
Windows
- マルウェアタイプ: トロイの木馬型
- 破壊活動の有無: なし
- 暗号化:
- 感染報告の有無: はい
概要
マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。
詳細
侵入方法
マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。
インストール
マルウェアは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。
- %System Root%\{random folder name}\{random file name 1}.exe
- %System Root%\{random folder name}\{random file name 2}.exe
- %System Root%\{random folder name}\{random file name 3}.exe
(註:%System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.)
マルウェアは、以下のフォルダを作成します。
- %System Root%\{random folder name}
- %Windows%\{random folder name}
(註:%System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.. %Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)
自動実行方法
マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
{value name} = "%System Root%\{random folder name}\{random file name 1}.exe"
作成活動
マルウェアは、以下のファイルを作成します。
- %System Root%\{random folder name}\{random file name 4}
- %System Root%\{random folder name}\{random file name 5}
- %System Root%\{random folder name}\{random file name 6}
- %Windows%\{random folder name}\{random file name 2}
(註:%System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.. %Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)
その他
マルウェアは、以下の不正なWebサイトにアクセスします。
- http://{BLOCKED}bicycle.net/index.php
- http://{BLOCKED}board.net/index.php
- http://{BLOCKED}bridge.net/index.php
- http://{BLOCKED}character.net/index.php
- http://{BLOCKED}enter.net/index.php
- http://{BLOCKED}except.net/index.php
- http://{BLOCKED}ladder.net/index.php
- http://{BLOCKED}whose.net/index.php
- http://{BLOCKED}ngbicycle.net/index.php
- http://{BLOCKED}ngbridge.net/index.php
- http://{BLOCKED}ngexcept.net/index.php
- http://{BLOCKED}ngwhose.net/index.php
- http://{BLOCKED}bicycle.net/index.php
- http://{BLOCKED}board.net/index.php
- http://{BLOCKED}bridge.net/index.php
- http://{BLOCKED}character.net/index.php
- http://{BLOCKED}enter.net/index.php
- http://{BLOCKED}except.net/index.php
- http://{BLOCKED}ladder.net/index.php
- http://{BLOCKED}whose.net/index.php
- http://{BLOCKED}bicycle.net/index.php
- http://{BLOCKED}board.net/index.php
- http://{BLOCKED}bridge.net/index.php
- http://{BLOCKED}enter.net/index.php
- http://{BLOCKED}except.net/index.php
- http://{BLOCKED}whose.net/index.php
- http://{BLOCKED}bicycle.net/index.php
- http://{BLOCKED}board.net/index.php
- http://{BLOCKED}bridge.net/index.php
- http://{BLOCKED}character.net/index.php
- http://{BLOCKED}enter.net/index.php
- http://{BLOCKED}except.net/index.php
- http://{BLOCKED}ladder.net/index.php
- http://{BLOCKED}whose.net/index.php
- http://{BLOCKED}gbicycle.net/index.php
- http://{BLOCKED}gbridge.net/index.php
- http://{BLOCKED}gexcept.net/index.php
- http://{BLOCKED}gwhose.net/index.php
- http://{BLOCKED}bicycle.net/index.php
- http://{BLOCKED}board.net/index.php
- http://{BLOCKED}bridge.net/index.php
- http://{BLOCKED}character.net/index.php
- http://{BLOCKED}enter.net/index.php
- http://{BLOCKED}except.net/index.php
- http://{BLOCKED}ladder.net/index.php
- http://{BLOCKED}whose.net/index.php
- http://{BLOCKED}icycle.net/index.php
- http://{BLOCKED}ridge.net/index.php
- http://{BLOCKED}xcept.net/index.php
- http://{BLOCKED}hose.net/index.php
- http://{BLOCKED}ntbicycle.net/index.php
- http://{BLOCKED}ntbridge.net/index.php
- http://{BLOCKED}ntexcept.net/index.php
- http://{BLOCKED}ntwagon.net/index.php
- http://{BLOCKED}ntwhose.net/index.php
- http://{BLOCKED}ebicycle.net/index.php
- http://{BLOCKED}ebridge.net/index.php
- http://{BLOCKED}eexcept.net/index.php
- http://{BLOCKED}ewagon.net/index.php
- http://{BLOCKED}ewagon.net/index.php
- http://{BLOCKED}ewhose.net/index.php
- http://{BLOCKED}ebicycle.net/index.php
- http://{BLOCKED}eboard.net/index.php
- http://{BLOCKED}ebridge.net/index.php
- http://{BLOCKED}echaracter.net/index.php
- http://{BLOCKED}eenter.net/index.php
- http://{BLOCKED}eexcept.net/index.php
- http://{BLOCKED}eladder.net/index.php
- http://{BLOCKED}ewhose.net/index.php
- http://{BLOCKED}bicycle.net/index.php
- http://{BLOCKED}board.net/index.php
- http://{BLOCKED}bridge.net/index.php
- http://{BLOCKED}enter.net/index.php
- http://{BLOCKED}except.net/index.php
- http://{BLOCKED}ladder.net/index.php
- http://{BLOCKED}whose.net/index.php
- http://{BLOCKED}bicycle.net/index.php
- http://{BLOCKED}board.net/index.php
- http://{BLOCKED}bridge.net/index.php
- http://{BLOCKED}character.net/index.php
- http://{BLOCKED}enter.net/index.php
- http://{BLOCKED}except.net/index.php
- http://{BLOCKED}ladder.net/index.php
- http://{BLOCKED}whose.net/index.php
- http://{BLOCKED}icycle.net/index.php
- http://{BLOCKED}oard.net/index.php
- http://{BLOCKED}ridge.net/index.php
- http://{BLOCKED}haracter.net/index.php
- http://{BLOCKED}nter.net/index.php
- http://{BLOCKED}xcept.net/index.php
- http://{BLOCKED}adder.net/index.php
- http://{BLOCKED}hose.net/index.php
- http://{BLOCKED}icycle.net/index.php
- http://{BLOCKED}ridge.net/index.php
- http://{BLOCKED}xcept.net/index.php
- http://{BLOCKED}hose.net/index.php
- http://{BLOCKED}thbicycle.net/index.php
- http://{BLOCKED}thboard.net/index.php
- http://{BLOCKED}thbridge.net/index.php
- http://{BLOCKED}thcharacter.net/index.php
- http://{BLOCKED}thenter.net/index.php
- http://{BLOCKED}thexcept.net/index.php
- http://{BLOCKED}thladder.net/index.php
- http://{BLOCKED}thwhose.net/index.php