Trojan.Win64.COMBACKER.YABA-A

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %All Users Profile%\VMWare\vmnat-update.bin (Detected as TrojanSpy.Win64.COMBACKER.YABA-A)

マルウェアは、以下のプロセスを追加します。

• %System%\rundll32.exe %All Users Profile%\VMware\vmnat-update.bin,OCSP_resp_find lxUi5CZ0IV45j89Y 4901

(註：%All Users Profile%フォルダは、ユーザの共通プロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\All Users” です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData” です。)

マルウェアは、以下のフォルダを作成します。

• %All Users Profile%\VMware

(註：%All Users Profile%フォルダは、ユーザの共通プロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\All Users” です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData” です。)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
OneDrive Update = %System%\rundll32.exe %All Users Profile%\VMware\vmnat-update.bin,OCSP_resp_find lxUi5CZ0IV45j89Y 4901

その他

マルウェアは、以下を実行します。

• If the following processes are found running on the machine it will not create the registry entry above:
  
  • avp.exe
  • avastui.exe

マルウェアは、以下のパラメータを受け取ります。

• Bx9yb37GEcJNK6bt 4901 → to proceed with its routine

<補足>
インストール

マルウェアは、以下のファイルを作成します。

• %All Users Profile%\VMWare\vmnat-update.bin (TrojanSpy.Win64.COMBACKER.YABA-Aとして検出)

その他

マルウェアは、以下を実行します。

• 以下のプロセスが感染コンピュータ上で実行されていることを確認した場合、マルウェアは、上記のレジストリエントリを作成しません。
  • avp.exe
  • avastui.exe

マルウェアは、以下のパラメータを受け取ります。

• Bx9yb37GEcJNK6bt 4901 → 不正活動を開始する