TROJ_RANBYUS.AW

2013年9月4日

解析者: Anthony Joe Melgarejo

別名:

TrojanSpy:Win32/Ranbyus.G (Microsoft)

プラットフォーム:

Windows 2000, Windows XP (32-bit and 64 bit), Windows Server 2003, Windows Vista (32-bit and 64 bit), Windows 7 (32-bit and 64 bit)

危険度:

ダメージ度:

感染力:

感染確認数:

情報漏えい:

マルウェアタイプ: トロイの木馬型
破壊活動の有無: なし
暗号化:
感染報告の有無: はい

概要

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

詳細

ファイルサイズ 239,772 bytes

タイプ EXE

メモリ常駐はい

発見日 2013年9月3日

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

%System%\machineupdate32.exe

(註：%System%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では "C:\Windows\System32" です。)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
Explorer\Run
Windows Debugger 32 = "%System%\machineupper32.exe"

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\{unreadable characters}

HKEY_CURRENT_USER\Software\BIFIT

HKEY_CURRENT_USER\Software\{unreadable characters}\
Z

HKEY_CURRENT_USER\Software\{unreadable characters}\
Z\Recent File List

HKEY_CURRENT_USER\Software\{unreadable characters}\
Z\Settings

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows NT\CurrentVersion\Winlogon
SysDebug32 = "{random values}"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\AuthorizedApplications\
List
%System%\svchost.exe = "%System%\svchost.exe:*:Enabled:Windows Debugger 32"

マルウェアは、以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Hardware Profiles\Current\Software\
Microsoft\Windows\CurrentVersion\
Internet Settings
ProxyEnable = "0"

(註：変更前の上記レジストリ値は、「1」となります。)

マルウェアは、以下のレジストリキーを削除します。

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows NT\CurrentVersion\SystemRestore

その他

マルウェアは、以下の不正なWebサイトにアクセスします。

http://{BLOCKED}mo.com/profit_new2/index.php
http://{BLOCKED}o.com/ru_profit_new/index.php