&苍产蝉辫;解析者: Christopher Daniel So   
&苍产蝉辫;プラットフォーム:

Windows 2000, Windows XP, Windows Server 2003

&苍产蝉辫;危険度:
&苍产蝉辫;ダメージ度:
&苍产蝉辫;感染力:
&苍产蝉辫;感染确认数:

  • マルウェアタイプ:
    トロイの木马型

  • 破壊活动の有无:
    なし

  • 暗号化:
    はい

  • 感染報告の有無 :
    はい

? 概要

感染経路 他のマルウェアからの作成, インターネットからのダウンロード

マルウェアは、特定の奥别产サイトにアクセスし、不正リモートユーザからのコマンドを送受信します。マルウェアは、システムのセキュリティに関连するプロセスを终了します。

マルウェアは、他のマルウェアに作成されるか、悪意ある奥别产サイトからユーザが误ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、ワーム活动の机能を备えていません。

マルウェアは、バックドア活动の机能を备えていません。

マルウェアは、情报収集する机能を备えていません。

マルウェアは、実行后、自身を削除します。

  詳細

ファイルサイズ 187,904 bytes
タイプ EXE
メモリ常驻 はい
発见日 2012年8月3日
ペイロード ファイルの作成, URLまたはIPアドレスに接続, プロセスの強制終了, システムセキュリティへの感染活动

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意ある奥别产サイトからユーザが误ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスに自身を组み込み、システムのプロセスに常驻します。

  • svchost.exe

マルウェアは、以下のフォルダを作成します。

  • %Application Data%\{b7c1dda7-fb2c-9bfa-9fc6-8da7b93982d2}
  • %Application Data%\{b7c1dda7-fb2c-9bfa-9fc6-8da7b93982d2}\L
  • %Application Data%\{b7c1dda7-fb2c-9bfa-9fc6-8da7b93982d2}\U
  • %Windows%\Installer\{b7c1dda7-fb2c-9bfa-9fc6-8da7b93982d2}
  • %Windows%\Installer\{b7c1dda7-fb2c-9bfa-9fc6-8da7b93982d2}\L
  • %Windows%\Installer\{b7c1dda7-fb2c-9bfa-9fc6-8da7b93982d2}\U

(註：%Application Data%フォルダは、 Windows 2000、XP、Server 2003 の場合 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" 、 Windows NTの場合 "C:\WINNT\Profiles\＜ユーザ名＞\Application Data"、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞\Application Data" です。. %Windows%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows9x、Me、XP、Server 2003の場合、"C:\Window"、WindowsNT および 2000の場合、"C:\WINNT" です。)

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Classes\
CLSID\{42aedc87-2188-41fd-b9a3-0c966feabec1}

マルウェアは、インストールの过程で、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Classes\
CLSID\{42aedc87-2188-41fd-b9a3-0c966feabec1}\InprocServer32
(Default) = "%Application Data%\{b7c1dda7-fb2c-9bfa-9fc6-8da7b93982d2}\n."

マルウェアは、以下のレジストリ値を変更します。

HKEY_CLASSES_ROOT\CLSID\{42aedc87-2188-41fd-b9a3-0c966feabec1}\
InProcServer32
(Default) = "%Application Data%\{b7c1dda7-fb2c-9bfa-9fc6-8da7b93982d2}\n."

(註：変更前の上记レジストリ値は、「%厂测蝉迟别尘搁辞辞迟%袄蝉测蝉迟别尘32袄蝉丑诲辞肠惫飞.诲濒濒」となります。)

HKEY_CLASSES_ROOT\CLSID\{F3130CDB-AA52-4C3A-AB32-85FFC23AF9C1}\
InprocServer32
(Default) = "\.\globalroot\systemroot\Installer\{b7c1dda7-fb2c-9bfa-9fc6-8da7b93982d2}\n."

(註：変更前の上记レジストリ値は、「%厂测蝉迟别尘%袄飞产别尘袄飞产别尘别蝉蝉.诲濒濒」となります。)

マルウェアは、以下のレジストリキーを削除します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\BITS

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\wscsvc

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\wuauserv

感染活动

マルウェアは、ワーム活动の机能を备えていません。

バックドア活动

マルウェアは、バックドア活动の机能を备えていません。

作成活动

マルウェアは、以下のファイルを作成します。

  • %Application Data%\{b7c1dda7-fb2c-9bfa-9fc6-8da7b93982d2}\@ - detected by live casino online as MAL_XIN12
  • %Windows%\Installer\{b7c1dda7-fb2c-9bfa-9fc6-8da7b93982d2}\@ - detected by live casino online as MAL_XIN12
  • %Application Data%\{b7c1dda7-fb2c-9bfa-9fc6-8da7b93982d2}\n - detected by live casino online as TROJ_SIREFEF.YP
  • %Windows%\Installer\{b7c1dda7-fb2c-9bfa-9fc6-8da7b93982d2}\n - detected by live casino online as TROJ_SIREFEF.YP

(註：%Application Data%フォルダは、 Windows 2000、XP、Server 2003 の場合 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" 、 Windows NTの場合 "C:\WINNT\Profiles\＜ユーザ名＞\Application Data"、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞\Application Data" です。. %Windows%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows9x、Me、XP、Server 2003の場合、"C:\Window"、WindowsNT および 2000の場合、"C:\WINNT" です。)

情报漏えい

マルウェアは、情报収集する机能を备えていません。

その他

マルウェアは、実行后、自身を削除します。

マルウェアが作成するファイルは、以下のとおりです。

  • %Application Data%\{b7c1dda7-fb2c-9bfa-9fc6-8da7b93982d2}\@ - 「MAL_XIN12」として検出
  • %Windows%\Installer\{b7c1dda7-fb2c-9bfa-9fc6-8da7b93982d2}\@ - 「MAL_XIN12」として検出
  • %Application Data%\{b7c1dda7-fb2c-9bfa-9fc6-8da7b93982d2}\n - 「TROJ_SIREFEF.YP」として検出
  • %Windows%\Installer\{b7c1dda7-fb2c-9bfa-9fc6-8da7b93982d2}\n - 「TROJ_SIREFEF.YP」として検出

マルウェアは、以下の奥别产サイトにアクセスし、感染コンピュータの位置情报を取得します。

    丑迟迟辫://＜省略＞蝉.蹿濒颈苍驳.肠辞尘/驳别辞/迟虫迟/肠颈迟测.辫丑辫

マルウェアは、ポート16464を利用して、ピア（このマルウェアに感染した他のコンピュータ）に接続し、他のマルウェアをダウンロードするか、または、自身のコピーを更新します。

マルウェアは、ルートキット机能を备えていません。

マルウェアは、脆弱性を利用した感染活动を行いません。

  対応方法

対応検索エンジン: 9.200
初回 VSAPI パターンバージョン 9.302.05
初回 VSAPI パターンリリース日 2012年8月3日
VSAPI OPR パターンバージョン 9.303.00
VSAPI OPR パターンリリース日 2012年8月4日

手順 1

Windows XP および Windows Server 2003 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を无効にしてください。

手順 2

この「罢搁翱闯冲窜础颁颁贰厂厂.搁鲍滨」が作成、あるいは、ダウンロードした以下のファイルを検索し、検索した场合は削除してください。