RTKT_NECURS.MJYE

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

マルウェアは、検出を困難にするためにランダムなヘッダを利用する「ZBOT」の亜種の最終ペイロードです。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。 マルウェアは、他のマルウェアに作成され、コンピュータに侵入します。

マルウェア マルウェアは、自身（コンピュータに侵入して最初に自身のコピーを作成した マルウェア ）を削除します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、以下のマルウェアに作成され、コンピュータに侵入します。

• TSPY_ZBOT.YUYET

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %System%\drivers\{random}.sys

(註：%System%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では "C:\Windows\System32" です。)

自動実行方法

マルウェアは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{random}
DisplayName = "{random}"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{random}
ErrorControl = "0"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{random}
Group = "Boot Bus Extender"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{random}
ImagePath = "%System%\drivers\{random}.sys"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{random}
Start = "0"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{random}
Tag = "1"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{random}
Type = "1"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{random}
Db0 = "{Hex Values}"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{random}
Db1 = "{Hex Values}"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{random}
Db2 = "{Hex Values}"

マルウェアは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{random}

他のシステム変更

マルウェアは、以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{Service under 'Boot Bus Extender Group'}
Tag = "{IValue+1}"

(註：変更前の上記レジストリ値は、「"{Value}"」となります。)

その他

マルウェア は、自身（コンピュータに侵入して最初に自身のコピーを作成した マルウェア ）を削除します。

マルウェアは、"DriverEntry"をパッチして"STATUS_UNSUCCESSFUL"を返すことにより、以下のファイル名を持つ新たなドライバの読み込みを無効にします。

• eeCtrl.sys
• eraser.sys
• SRTSP.sys
• SRTSPIT.sys
• SRTSP64.SYS
• a2gffx86.sys
• a2gffx64.sys
• a2gffi64.sys
• a2acc.sys
• a2acc64.sys
• mbam.sys
• eamonm.sys
• MaxProtector.sys
• SDActMon.sys
• tmevtmgr.sys
• tmpreflt.sys
• vcMFilter.sys
• drivesentryfilterdriver2lite.sys
• mpFilter.sys
• PSINPROC.SYS
• PSINFILE.SYS
• amfsm.sys
• amm8660.sys
• amm6460.sys
• caavFltr.sys
• ino_fltr.sys
• avmf.sys
• PLGFltr.sys
• AshAvScan.sys
• csaav.sys
• SegF.sys
• eeyehv.sys
• eeyehv64.sys
• NovaShield.sys
• BdFileSpy.sys
• tkfsft.sys
• tkfsft64.sys
• tkfsavxp.sys
• tkfsavxp64.sys
• SMDrvNt.sys
• ATamptNt.sys
• V3Flt2k.sys
• V3MifiNt.sys
• V3Ift2k.sys
• V3IftmNt.sys
• ArfMonNt.sys
• AhnRghLh.sys
• AszFltNt.sys
• OMFltLh.sys
• V3Flu2k.sys
• vcdriv.sys
• vcreg.sys
• vchle.sys
• NxFsMon.sys
• AntiLeakFilter.sys
• NanoAVMF.sys
• shldflt.sys
• nprosec.sys
• nregsec.sys
• issregistry.sys
• THFilter.sys
• pervac.sys
• avgmfx86.sys
• avgmfx64.sys
• avgmfi64.sys
• avgmfrs.sys
• fortimon2.sys
• fortirmon.sys
• fortishield.sys
• savonaccess.sys
• OADevice.sys
• pwipf6.sys
• EstRkmon.sys
• EstRkr.sys
• dwprot.sys
• Spiderg3.sys
• STKrnl64.sys
• UFDFilter.sys
• SCFltr.sys
• fildds.sys
• fsfilter.sys
• fpav_rtp.sys
• cwdriver.sys
• Rtw.sys
• HookSys.sys
• snscore.sys
• ssvhook.sys
• strapvista.sys
• strapvista64.sys
• sascan.sys
• savant.sys
• vradfil2.sys
• fsgk.sys
• PCTCore64.sys
• PCTCore.sys
• ikfilesec.sys
• ZxFsFilt.sys
• antispyfilter.sys
• PZDrvXP.sys
• ggc.sys
• catflt.sys
• kmkuflt.sys
• mfencoas.sys
• mfehidk.sys
• cmdguard.sys
• K7Sentry.sys
• nvcmflt.sys
• issfltr.sys
• AVCKF.SYS
• bdfsfltr.sys
• bdfm.sys
• AVC3.SYS
• aswmonflt.sys
• HookCentre.sys
• PktIcpt.sys
• MiniIcpt.sys
• avgntflt.sys
• klbg.sys
• kldback.sys
• kldlinf.sys
• kldtool.sys
• klif.sys
• lbd.sys
• rvsmon.sys
• ssfmonm.sys
• KmxAgent.sys
• KmxAMRT.sys
• KmxAMVet.sys
• KmxStart.sys
• ahnflt2k.sys
• AhnRec2k.sys
• AntiyFW.sys
• v3engine.sys
• Vba32dNT.sys
• kprocesshacker.sys

マルウェアは、"DriverEntry"をパッチして"STATUS_UNSUCCESSFUL"を返すことにより、以下のベンダ名を持つ新たなドライバの読み込みを無効にします。

• Agnitum Ltd
• ALWIL Software
• PC Tools
• GRISOFT, s.r.o.
• Avira GmbH
• BITDEFENDER LLC
• BitDefender SRL
• Comodo Inc
• Doctor Web Ltd
• ESET, spol. s r.o.
• FRISK Software International Ltd
• Kaspersky Lab
• Panda Software International
• Symantec Corporation
• Check Point Software Technologies Ltd
• BullGuard Ltd
• antimalware
• NovaShield Inc
• CJSC Returnil Software
• Anti-Virus
• Sophos Plc
• Comodo Security Solutions
• Quick Heal Technologies
• G DATA Software
• Beijing Rising
• Immunet Corporation
• K7 Computing
• Sunbelt Software
• SUNBELT SOFTWARE
• Beijing Jiangmin
• VirusBuster Ltd
• KProcessHacker

マルウェアは、以下のAPIをフックします。

• NtOpenProcess
• NtOpenThread