Backdoor.Win32.ANDROM.DYSGXE

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。 マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。

マルウェア マルウェアは、自身（コンピュータに侵入して最初に自身のコピーを作成した マルウェア ）を削除します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %ProgramData%\ms{random}.exe

(註：%ProgramData%フォルダは、マルチユーザーシステムにおいて任意のユーザがプログラムに変更を加えることができるプログラムファイルフォルダのバージョンです。これには、すべてのユーザのアプリケーションデータが含まれます。Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData" です。Windows Server 2003(32-bit)、2000(32-bit)、XPの場合、通常 "C:\Documents and Settings\All Users" です。 )

マルウェアは、以下のプロセスを追加します。

• msiexec.exe

マルウェアは、以下のプロセスにコードを組み込みます。

• msiexec.exe

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
Explorer\Run
{random number} = %ProgramData%\ms{random}.exe → If run as Administrator

HKEY_CURRENT_USER\Software\Microsoft\
Windows NT\CurrentVersion\Windows
Load = %ProgramData%\ms{random}.exe

他のシステム変更

マルウェアは、以下のレジストリ値を変更します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
ShowSuperHidden = 0

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
Hidden = 2

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Download exe
• Update plug-in
• Delete bot
• Install plug-in

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• http://{BLOCKED}derstatus.ru/order.php
• http://{BLOCKED}rentia.ru/diff.php
• http://{BLOCKED}0s7he.ru

マルウェアは、コマンド＆コントロール（C&C）サーバに以下の情報を通知します。

• OS Version
• VolumeSerialNumber
• Local IP Address
• Botnet ID
• Administrator rights of current malware process

その他

マルウェアは、以下のWebサイトにアクセスしてインターネット接続を確認します。

• yahoo.com
• google.com
• bing.com
• microsoft.com
• update.microsoft.com

マルウェアは、以下を実行します。

• Checks if the following processes related to virtual environment, emulation software, and network monitoring software are running in the affected machine. If so, it will perform infinite sleep.
  • vmwareuser.exe
  • vmwareservice.exe
  • vboxservice.exe
  • vboxtray.exe
  • sandboxiedcomlaunch.exe
  • sandboxierpcss.exe
  • procmon.exe
  • regmon.exe
  • filemon.exe
  • wireshark.exe
  • netmon.exe
  • prl_tools_service.exe
  • prl_tools.exe
  • prl_cc.exe
  • sharedintapp.exe
  • vmtoolsd.exe
  • vmsrvc.exe
  • vmusrvc.exe
  • python.exe
  • perl.exe
  • avpui.exe
• It will not proceed with its routine if the system's language is any of the following:
  • Russian
  • Ukrainian
  • Belarusian
  • Kazakh
• Connects to the following Network Time Protocol (NTP) servers:
  • africa.pool.ntp.org
  • oceania.pool.ntp.org
  • asia.pool.ntp.org
  • south-america.pool.ntp.org
  • north-america.pool.ntp.org
  • europe.pool.ntp.org
  • pool.ntp.org

マルウェア は、自身（コンピュータに侵入して最初に自身のコピーを作成した マルウェア ）を削除します。