Trojan.Win32.PHANTOMNET.YAAN-DRPR

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %User Profile%\test\7z.cab - contains Smanager_ssl.dll file detected as Backdoor.Win32.PHANTOMNET.YAAL-B
• %Windows%\AppPatch\netapi32.dll - if executed with admin rights
• %User Temp%\WMedia\{Random Numbers}.tmp - if executed without admin rights

(註：%User Profile%フォルダは、現在ログオンしているユーザのプロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞" です。. %Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.. %User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

マルウェアは、以下のプロセスを追加します。

• "%System%\extrac32.exe" "%User Profile%\test\7z.cab" netapi32.dll /Y /L "%Windows%\apppatch\" - if executed with admin rights
• "%System%\extrac32.exe" "%User Profile%\test\7z.cab" {Random Numbers}.tmp /Y /L "%User Temp%\WMedia" - if executed without admin rights
• rundll32.exe "%User Temp%\WMedia\{Random Numbers}.tmp" Entery - if executed without admin rights

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.. %User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
VVSup.Application
{Default} = VVSup.Application

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
VVSup.Application\CLSID
{Default} = {CLSID Value}

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{CLSID Value}
{Default} = VVSup.Application

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{CLSID Value}\ProgID
{Default} = VVSup.Application

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{CLSID Value}\InprocHandler32
{Default} = ole32.dll

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{CLSID Value}\LocalServer32
{Default} = {Malware Path}\{Malware File Name}.exe

マルウェアは、インストールの過程で、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Svchost
{Service Name}Ex = {Service Name}

その他

マルウェアは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
VVSup.Application

マルウェアは、以下のサービスを追加し、実行します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\{Service Name}
ImagePath = %System%\svchost.exe -k {Service Name}Ex

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\{Service Name}\Parameters
ServiceDll = %Windows%\apppatch\netapi32.dll

マルウェアは、以下を実行します。

• It would only install and execute the service if executed with admin rights. Otherwise, it will install the scheduled task.
• The {Service Name} can be any of the following:
  • WlanSvr
  • GuiSvr
  • MediaSvr
  • Winrs
  • NvdiaSvr
  • Winmads
  • WaRpc
  • DisSvr
  • PlugSvr
  • Vsssvr
• It will modify the extracted DLL and set the URLs that the DLL would connect to once executed.

以下のスケジュールされたタスクを追加します：

• If executed without admin rights:
  Task Name: Windows\Update
  Task to be run: "rundll32.exe "%User Temp%\WMedia\{Random Numbers}.tmp" Entery"

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)