BKDR_APOLMY.C

マルウェアは、Windowsのタスクスケジューラを用いて、「スケジュールされたタスク」を作成します。これにより、作成されたコピーが実行されます。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

マルウェアは、特定の脆弱性を利用した感染活動を実行します。

侵入方法

マルウェアは、以下の方法でコンピュータに侵入します。

• (MS14-064) Vulnerabilities in Windows OLE Could Allow Remote Code Execution (3011443)

インストール

マルウェアは、以下のファイルを作成し実行します。

• C:\Users\Public\doc.exe - also detected as BKDR_APOLMY.C in a 32-bit system and BKDR64_APOLMY.C in a 64-bit system
• C:\Users\Public\test.exe - detected as TROJ64_APOLMY.C

マルウェアは、Windowsのタスクスケジューラを用いて、「スケジュールされたタスク」を作成します。これにより、作成されたコピーが実行されます。

自動実行方法

この「スケジュールされたタスク」により、以下の時間ごとにマルウェアが実行されます。

• log on of any user

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• 000 - save data received to C:\Users\{username}\AppData\Local\Temp\notepad1.exe
• 001 - deletes C:\Users\{username}\AppData\Local\Temp\notepad.exe and C:\Users\{username}\AppData\Local\Temp\newnotepad.exe
• 002 - exit
• 003 - download from URL received and save to C:\Users\{username}\AppData\Local\Temp\notepad.exe
• 004 - save data received to C:\Users\{username}\AppData\Local\Temp\notepad2.exe
• 005 - join notepad1.exe and notepad2.exe and save to C:\Users\{username}\AppData\Local\Temp\newnotepad.exe, then execute.
• 006 - upload C:\Users\{username}\AppData\Local\Temp\note.txt
• 007 - execute data received using "cmd.exe /C "

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• {BLOCKED}2.{BLOCKED}7.198.103:1913
• {BLOCKED}2.{BLOCKED}4.60.229:81

その他

マルウェアは、以下の脆弱性を利用して感染活動を実行します。

• (MS14-058) Vulnerabilities in Kernel-Mode Driver Could Allow Remote Code Execution (3000061) - to execute C:\Public\test.exe with escalated privileges