BKDR_ANDROM.NTW

マルウェアは、リモートサイトから他の不正プログラムにダウンロードされ、コンピュータに侵入します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

侵入方法

マルウェアは、リモートサイトから以下の不正プログラムによりダウンロードされ、コンピュータに侵入します。

• JAVA_DLOADER.NTW

マルウェアは、以下のリモートサイトからダウンロードされ、コンピュータに侵入します。

• http://{BLOCKED}lcurrencyreport.com/cybercrime-suspect-arrested/up1.exe

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %System Root%\Documents and Settings\All Users\svchost.exe - if running in virtual machine
• %System Root%\Documents and Settings\All Users\Local Settings\Temp\ms{random characters}.{extension name} - if running in admin account
• %User Temp%\ms{random characters}.{extension name} - if not running in admin account

(註：%System Root%フォルダは、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。. %User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• {Decimal form of the Volume Serial Number of %System Root%}

(註：%System Root%フォルダは、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。)

マルウェアは、以下のプロセスにコードを組み込み、システムのプロセスに常駐します。

• \system32\wuauclt.exe
• \syswow64\svchost.exe

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
SunJavaUpdateSched = "%System Root%\Documents and Settings\All Users\svchost.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\policies\
Explorer\Run
{random number} = "%System Root%\Documents and Settings\All Users\Local Settings\Temp\ms{random characters}.{extension name}"

HKEY_CURRENT_USER\Software\Microsoft\
Windows NT\CurrentVersion\Windows
Load = "%User Temp%\ms{random}.{extension name}"

他のシステム変更

マルウェアは、以下のレジストリ値を作成し、Windowsのファイアウォールを回避します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\AuthorizedApplications\
List
{malware path}\{malware name}.exe = "{malware path}\{malware name}.exe:*:Enabled:{malware name}"

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Download a file from C&C server and save it as %User Temp%\{random number}.exe
• Download a file from C&C server and save it in the folder %System Root%\Documents and Settings\All Users\ms{random number}.dat and loads it
• Start a process
• Uninstall itself
• Remote command prompt

(註：%User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %System Root%フォルダは、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。)

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• http://{BLOCKED}st.com/image.php

その他

マルウェアは、以下のWebサイトにアクセスしてインターネット接続を確認します。

• www.update.microsoft.com

作成されたコピーの「{extension name}」は、以下のいずれかです。

• BAT
• CMD
• COM
• EXE
• PIF
• SCR

マルウェアが実行するコマンドは以下のとおりです。

• コマンド＆コントロール（C&C）サーバからファイルのダウンロードし、"%User Temp%\{random number}.exe" として保存
• C&Cサーバからファイルをダウンロードし、"%System Root%\Documents and Settings\All Users\ms{random number}.dat" に保存、読み込み
• プロセスの開始
• 自身のアンインストール
• リモートコマンドプロンプト