BKDR64_NETCOM.GQA

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

マルウェアは、感染コンピュータや感染ユーザから特定の情報を収集します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Execute a program
• Change file’s creation time, last access time, last modified time.
• Send or receive files via FTP
• Modify HTTP proxy (port to use, IP address to allow, IP address to deny, User-Agent, view server info, end proxy service)
• Connect to a telnet server and execute command
• Port scanning
• List all active processes
• List all active processes with its modules
• Kill a process
• Execute programs using different profile (Windows’ runas command)
• Create, delete, start, stop, or configure a service
• Query the following information of a service
  
  • Service Configuration
  • Display Name
  • Key Name
  • Description
• Shutdown, log off, reboot, or power off the system
• Modify Socks proxy (port to use, IP address to allow, IP address to deny, User-Agent, view server info, end proxy service)
• List, add, delete, or modify a user account
• Download file from a URL
• Share a shell
• Change current directory
• Display files and subdirectories in a directory
• Copy, delete, or move files

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• {BLOCKED}.{BLOCKED}.2.125:53

情報漏えい

マルウェアは、以下の情報を収集します。

• IP Address
• Computer name
• User name