ANDROMEDA

このマルウェアのファミリは、ボットネット「ANDROMEDA」に関連するバックドアで構成される亜種を参照します。ボットネットは、2011年の後半に初めて確認されました。モジュール化されたボットネットで、機能はプラグインを介して容易に修正が可能です。

このマルウェアの典型的な動作の一つは、反仮想化技術を利用して、仮想環境でマルウェアが実行またはデバッグされているかどうかを確認することです。マルウェアは、ファイルのダウンロードおよび実行、リモートシェルの実行、コンピュータからの自身のアンインストールなどのさまざまなコマンドを実行することができます。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %All Users Profile%\Local Settings\Temp\{random}.{random extension}
• %All Users Profile%\svchost.exe
• %All Users Profile%\{random}.exe
• %Program Data%\svchost.exe
• %User Temp%\{random}.exe

(註：%User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

他のシステム変更

マルウェアは、インストールの過程で以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
SunJavaUpdateSched = "%All Users Profile%\svchost.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\policies\
Explorer\Run
540 = "%All Users Profile%\Local Settings\Temp\{random}.{random extension}"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\AuthorizedApplications\
List
{malware path and file name} = "{malware path and file name}:*:Enabled:Marko"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\policies\
Explorer\Run
540 = "%All Users Profile%\{random}.exe"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\AuthorizedApplications\
List
{malware path and file name} = "{malware path and file name}:*:Enabled:{malware file name}"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\AuthorizedApplications\
List
%System%\msiexec.exe = "%System%\msiexec.exe:*:Generic Host Process"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\AuthorizedApplications\
List
%System%\svchost.exe = "%System%\svchost.exe:*:Generic Host Process"

その他

マルウェアは、以下の不正なWebサイトにアクセスします。

• http://{BLOCKED}rph.su/in.php
• http://{BLOCKED}gonzmwuehky.nl/in.php
• http://{BLOCKED}jtvmein.in/in.php
• http://{BLOCKED}ryConvention.ru/new/gate.php
• http://{BLOCKED}amcam.ru/new/gate.php
• http://{BLOCKED}Pod.ru/new/gate.php
• http://{BLOCKED}it.ru/new/gate.php
• http://{BLOCKED}Images.com/new/gate.php
• http://{BLOCKED}rososoft.ru/in.php
• http://{BLOCKED}h.ru/new/gate.php
• http://{BLOCKED}bcgrvkj.ru/in.php
• http://{BLOCKED}ewsqhct.in/in.php