BKDR_ANDROM.WPAD

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、実行後、自身を削除します。

マルウェアは、ワーム活動の機能を備えていません。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。 マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。

マルウェアは、情報収集する機能を備えていません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• {All Users' Profile}\{random file name}.exe
• {All Users' Profile}\svchost.exe

マルウェアは、実行後、自身を削除します。

マルウェアは、以下の通常のプロセスにスレッドを組み込みます。

• svchost.exe

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
SunJavaUpdateSched = "{All Users' Profile}\svchost.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\policies\
Explorer\Run
{random number} = "{All Users' Profile}\{random file name}.exe"

他のシステム変更

マルウェアは、インストールの過程で、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\policies\
Explorer\Run

マルウェアは、以下のレジストリ値を作成し、Windowsのファイアウォールを回避します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\AuthorizedApplications\
List
%System%\svchost.exe = "%System%\svchost.exe:*:Generic Host Process"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\AuthorizedApplications\
List
%System%\msiexec.exe = "%System%\msiexec.exe:*:Generic Host Process"

感染活動

マルウェアは、ワーム活動の機能を備えていません。

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Download a file from C&C server and save it as %User Temp%\{random number}.exe
• Download a file from C&C server and save it as %System Root%\Documents and Settings\All Users\ms{random number}.dat and loads it
• Start a process
• Uninstall itself
• Remote command prompt

(註：%User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %System Root%フォルダは、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。)

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• http://{BLOCKED}t.ru/new/gate.php
• http://{BLOCKED}mcam.ru/new/gate.php
• http://{BLOCKED}mus.com/new/gate.php

情報漏えい

マルウェアは、情報収集する機能を備えていません。

その他

マルウェアが実行するコマンドは以下のとおりです。

• コマンド＆コントロール（C&C）サーバからファイルをダウンロードし以下として保存
  • %User Temp%\{random number}.exe
• C&Cサーバからファイルをダウンロードし以下として保存後、読み込み
  • %System Root%\Documents and Settings\All Users\ms{random number}.dat
• プロセスの開始
• 自身のアンインストール
• リモートコマンドプロンプト

マルウェアは、自身がVMWareの環境またはエミュレーションソフトウェア上で実行しているかを確認します。自身がVMWareの環境またはエミュレーションソフトウェア上で実行している場合、8000番ポートを開き、リモートシェル実行のバックドアコマンドを待機するという他の不正活動を実行します。

また、マルウェアは、感染コンピュータでネットワーク監視ソフトが実行しているかを確認します。実行が確認された場合、マルウェアは自身の他の不正活動を実行します。

マルウェアは、以下のWebサイトにアクセスし、コマンドを送受信しますが、コンピュータ上の情報を収集して送信する活動はありません。

• http://{BLOCKED}t.ru/new/gate.php
• http://{BLOCKED}mcam.ru/new/gate.php
• http://{BLOCKED}mus.com/new/gate.php

マルウェアは、ルートキット機能を備えていません。

マルウェアは、脆弱性を利用した感染活動を行いません。