BANDOK

「BANDOK」は、「Remote Access Tool（RAT）」から構成されるファミリであり、不正リモートユーザが感染コンピュータにリモートアクセスすることを可能にします。コンピュータを完全制御するために、マルウェアは、サーバ構築ツールやクライアント、サーバを利用します。またマルウェアは、ファイアウォールを回避するために、プロセスの乗っ取りやカーネルのパッチを悪用します。実行されると、BANDOKの亜種は、Webサイトへアクセスし、他のコンポーネントをダウンロードします。

インストール

マルウェアは、以下のファイルを作成します。

• %System Root%\Documents and Settings\All Users\Application Data\loggy.txt
• %System%\csrss{number}.dll
• %User Temp%\csrss{number}.dll

(註：%System Root%は、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。. %System%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\System"、Windows NT および 2000 の場合、"C:\WinNT\System32"、Windows XP および Server 2003 の場合、"C:\Windows\System32" です。. %User Temp%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\Temp"、Windows NT の場合、"C:\Profiles\＜ユーザー名＞\TEMP"、Windows 2000、XP、Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\TEMP" です。)

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %System Root%\Documents and Settings\All Users\Application Data\csrss.exe

(註：%System Root%は、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
Svchost = "%System Root%\Documents and Settings\All Users\Application Data\csrss.exe"

他のシステム変更

マルウェアは、インストールの過程で、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion
SvchostID = "{machine ID converted}"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion
SvchostVersion = "{number}"

HKEY_USERS\.DEFAULT\SOFTWARE\
Microsoft\Windows\CurrentVersion
SvchostVersion = "{number}"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters
110:TCP = "110:TCP:*:Enabled:svchost"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\AuthorizedApplications\
List
%System Root%\Documents and Settings\All Users\Application Data\csrss.exe = "%System Root%\Documents and Settings\All Users\Application Data\csrss:*:Enabled:svchost"

マルウェアは、インストールの過程で、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Servers

その他

マルウェアは、以下の不正なWebサイトにアクセスします。

• http://{BLOCKED}lero.com/s.html?cachingDeny={random characters}&id={converted machine ID}
• http://{BLOCKED}stats.ru/s.html?cachingDeny={random characters}&id={converted machine ID}
• http://{BLOCKED}tats.ru/s.html?cachingDeny={random characters}&id={converted machine ID}
• http://{BLOCKED}ler.com/s.html?cachingDeny={random characters}&id={converted machine ID}
• http://{BLOCKED}-ana1itics.com/s.html?cachingDeny={random characters}&id={converted machine ID}
• http://{BLOCKED}machiner.com/s.html?cachingDeny={random characters}&id={converted machine ID}