BKDR_ALDIBOT.D

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。 マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

• %Application Data%\Windowsie.exe

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
KyKEJSLY1Nb07ie = "%Application Data%\Windowsie.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
KyKEJSLY1Nb07ie = "%Application Data%\Windowsie.exe"

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Active Setup\Installed Components\{random}

マルウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Active Setup\Installed Components\{random}
KyKEJSLY1Nb07ie = ""%Application Data%\Windowsie.exe /ActiveX""

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• StartHTTP - starts an HTTP DDoS attack
• StartSlowloris - starts a Slowloris DDoS attack
• StartTCP - starts a TCP DDoS attack
• StartSSYN - starts SYN DDoS attack
• StartLayer7 - starts Layer 7 DDoS attack
• StopHTTPDDoS - stops an HTTP DDoS attack
• StopTCPDDoS - stops a TCP DDoS attack
• StopDDoS - stops all DDoS attack
• DownloadEx - downloads and executes file
• startUDP - starts a UDP DDoS attack
• OpenWebSite - visits sites
• CreateSocks - creates SOCKS5 proxy
• StealData - performs password stealing capability
• Update - updates itself

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• http://{BLOCKED}lnoe.vrozetke.com/musice/gate.php?hwid={HWID}&pc={Host Name}&localip={Local IP Address}&winver={OS Version}

情報漏えい

マルウェアは、以下の情報を収集します。

• Hardware Identification (HWID)
• Host Name
• Local IP Address
• OS Version

マルウェアは、以下のブラウザから、ユーザ名、パスワードやホスト名といった保存された情報を収集します。

• Mozilla Firefox