BKDR_CYCBOT.BU

マルウェアは、リモートサイトから他のマルウェア、グレイウェアまたはスパイウェアにダウンロードされ、コンピュータに侵入します。 マルウェアは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。 マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

マルウェアは、リモートサイトから他のマルウェア、グレイウェアまたはスパイウェアにダウンロードされ、コンピュータに侵入します。

マルウェアは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %User Profile%\Application Data\Microsoft\conhost.exe
• %User Profile%\Application Data\dwm.exe

(註：%User Profile% フォルダは、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞"、Windows NTでは、"C:\WINNT\Profiles\＜ユーザ名＞"、Windows 2000, XP, Server 2003の場合は、"C:\Documents and Settings\＜ユーザ名＞" です。)

マルウェアは、以下の無害なファイルを作成します。

• %User Profile%\Application Data\9EAE.6BA - log file

(註：%User Profile% フォルダは、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞"、Windows NTでは、"C:\WINNT\Profiles\＜ユーザ名＞"、Windows 2000, XP, Server 2003の場合は、"C:\Documents and Settings\＜ユーザ名＞" です。)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
conhost = %User Profile%\Application Data\Microsoft\conhost.exe

HKEY_CURRENT_USER\Software\Microsoft\
Windows NT\CurrentVersion\Winlogon
Shell = explorer.exe,%User Profile%\Application Data\dwm.exe

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings
ProxyServer = http=127.0.0.1:{port number}

マルウェアは、以下のレジストリ値を変更します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings
ProxyEnable = 1

(註：変更前の上記レジストリ値は、「0」となります。)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Hardware Profiles\0001\Software\
Microsoft\windows\CurrentVersion\
Internet Settings
ProxyEnable = 1

(註：変更前の上記レジストリ値は、「0」となります。)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Hardware Profiles\Current\Software\
Microsoft\windows\CurrentVersion\
Internet Settings
ProxyEnable = 1

(註：変更前の上記レジストリ値は、「0」となります。)

HKEY_CURRENT_CONFIG\Software\Microsoft\
windows\CurrentVersion\Internet Settings
ProxyEnable = 1

(註：変更前の上記レジストリ値は、「0」となります。)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile
EnableFirewall = 0

(註：変更前の上記レジストリ値は、「1」となります。)

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• search and open files
• download updated copy of itself
• download and execute other possibly malicious file(s)
• send installation report to the server
• redirect HTTP traffic to a specific website
• uninstall itself

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• http://{BLOCKED}234.motostyleclub.com
• http://{BLOCKED}inewarez.com
• http://{BLOCKED}space.com
• http://{BLOCKED}santa.com
• http://{BLOCKED}ebookshop.com
• http://{BLOCKED}temsonline.com
• http://{BLOCKED}programmingshool.com
• http://{BLOCKED}rddrivesoft.com
• http://{BLOCKED}bilesoftonline.com
• http://{BLOCKED}otostoreonline.com
• http://{BLOCKED}devicescatalog.com
• http://{BLOCKED}sonline.com
• http://{BLOCKED}rshoponline.com
• http://{BLOCKED}lddisordervideo.com
• http://{BLOCKED}esbee.com
• http://{BLOCKED}futures.com
• http://{BLOCKED}inpeoplelist.com
• http://{BLOCKED}ack-1.com
• http://{BLOCKED}etalfunclub.com
• http://{BLOCKED}amplestore.com
• http://{BLOCKED}ilesoftonline.com
• http://{BLOCKED}pportcenter.com