• Email
• Facebook
• Twitter
• Google+
• Linkedin

TROJ_ROVNIX.YPOA

---

• マルウェアタイプ: トロイの木馬型
• 破壊活動の有無: なし
• 暗号化: なし
• 感染報告の有無: はい

---

  概要

マルウェアは、他のマルウェアのパッケージとともにコンポーネントとしてコンピュータに侵入します。 マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、特定のフォルダ内にあるファイルを削除します。これにより、該当プログラムおよびアプリケーションが正しく実行されなくなります。

マルウェアは、ワーム活動の機能を備えていません。

マルウェアは、バックドア活動の機能を備えていません。

マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。 マルウェアが自身の不正活動を実行するためには、メインとなるコンポーネントが必要になります。 ただし、情報公開日現在、このWebサイトにはアクセスできません。

---

  詳細

侵入方法

マルウェアは、他のマルウェアのパッケージとともにコンポーネントとしてコンピュータに侵入します。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスを追加します。

• svchost.exe

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• Global\BDNTFS{Volume Serial Number}

マルウェアは、以下のプロセスにコードを組み込みます。

• created svchost.exe

他のシステム変更

マルウェアは、以下のフォルダ内にあるファイルを削除します。

• %User Temp%

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

マルウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Installer\Products\B{Volume Serial Number}

HKEY_CURRENT_USER\Software\Microsoft\
Installer\Products\B{Volume Serial Number}\
PLUGIN

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Installer\Products\B{Volume Serial Number}
SH1 = "{C&C server}"

HKEY_CURRENT_USER\Software\Microsoft\
Installer\Products\B{Volume Serial Number}
SH2 = "{C&C server}"

HKEY_CURRENT_USER\Software\Microsoft\
Installer\Products\B{Volume Serial Number}
SH3 = "{C&C server}"

感染活動

マルウェアは、ワーム活動の機能を備えていません。

バックドア活動

マルウェアは、バックドア活動の機能を備えていません。

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスし、不正なファイルをダウンロードして実行します。

• http://{domain name}/download/{random}.zip

マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %User Temp%\~{random}.tmp ← deleted afterwards

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

その他

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• {domain name}/login.asp
• {domain name}/images/pixel.gif
• {domain name}/images/transparent.gif
• {domain name}/images/logout.gif
• {domain name}/{Volume Serial Number}32.gif

マルウェアが自身の不正活動を実行するためには、メインとなるコンポーネントが必要になります。

マルウェアは、以下のWebサイトにDNSリクエストを実行します。

• {BLOCKED}babanahujtr.org
• {BLOCKED}ebabanahujtr2.org
• {BLOCKED}ebabanahujtr3.org
• {randomly generated domain}.ru
• {randomly generated domain}.com
• {randomly generated domain}.net
• {randomly generated domain}.biz
• {randomly generated domain}.cn

ただし、情報公開日現在、このWebサイトにはアクセスできません。

マルウェアが以下のファイル名でダウンロードし保存するファイルは、その後削除されます。

• %User Temp%\~{random}.tmp

マルウェアは、DNSサーバが以下の文字列を含んでいるかどうかを確認します。

• control
• sink
• hole
• dynadot
• block
• malw
• anti
• googl
• hack
• trojan
• abuse
• virus
• black
• spam

マルウェアは以下のサーバ接続してTORサービスを利用することができます。

• {BLOCKED}vg6cktylw2.onion

マルウェアは以下のNTPサーバに接続します。

• 0.de.pool.ntp.org
• 0.lu.pool.ntp.org
• ntp1.stratum2.ru

マルウェアは、"\\.\pipe\vhost{Volume Serial Number}"と名付けれたパイプを作成して、自身のメインのコンポーネントを通信します。

マルウェアは、自身のプロセスが以下のいずれかであるかどうかを確認します。

• winlogon.exe
• svchost.exe
• explorer.exe
• rundll32.exe

"winlogon.exe"で実行されていた場合、追加されるレジストリに、"HKEY_CURRENT_USER"の代わりに"HKEY_LOCAL_MACHINE"を利用します。

マルウェアは、以下の自動実行レジストリ内で自身を検索します。

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

確認された場合、マルウェアは自身の自動実行値を定期的に再作成します。

マルウェアは、ルートキット機能を備えていません。

マルウェアは、脆弱性を利用した感染活動を行いません。

---

  対応方法

ご利用はいかがでしたか？　アンケートにご協力ください