BKDR_BADEY.A

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。その理由として、ダメージ度や感染力、あるいは、その両方の脅威レベルの高まりが挙げられます。特にこのマルウェアは、特別に細工されたスクリプト「HTML_BADEY.A」によってダウンロードされます。「HTML_BADEY.A」は、Internet Explorer (IE)の脆弱性を利用します。

このマルウェアは、リモートサイトから「HTML_BADEY.A」によってダウンロードされ、コンピュータに侵入します。マルウェアは、コンポーネントファイルを作成したり、また、感染コンピュータで実行中のプロセスに自身を組み込みます。また、マルウェアは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるようレジストリ値を追加します。さらに、マルウェアは、特定のポートを開きます。

マルウェアは、Webサイトにアクセスしてファイルをダウンロードします。マルウェアは、ダウンロードしたファイルを特定のファイル名で保存します。また、マルウェアは、暗号化ファイルをダウンロードした後、これらのファイルを復号して読み込みます。これらのファイルは、マルウェアが感染コンピュータ上で実行するバックドアのコマンドを含んでいます。

マルウェアは、リモートサイトから他の不正プログラムもしくはアドウェア等にダウンロードされ、コンピュータに侵入します。

侵入方法

マルウェアは、リモートサイトから以下の不正プログラムもしくはアドウェア等にダウンロードされ、コンピュータに侵入します。

• HTML_BADEY.A

マルウェアは、以下のリモートサイトからダウンロードされ、コンピュータに侵入します。

• http://www.{BLOCKED}lub.com/reg/linkbl.gif

インストール

マルウェアは、以下のコンポーネントファイルを作成します。

• %System%\msnetacsvc.dll - also detected as BKDR_BADEY.A
• %User Startup%\ctfmon.exe - also detected as BKDR_BADEY.A

(註：%System%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、""C:\Windows\System""、Windows NT および 2000 の場合、""C:\WinNT\System32""、Windows XP および Server 2003 の場合、""C:\Windows\System32"" です。. %User Startup%フォルダは、通常、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup" 、Windows NTの場合、"C:\WINNT\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup"、Windows 2000、XP、Server 2003の場合、"C:\Documents and Settings\＜ユーザ名＞\Start Menu\Programs\Startup " です。)

マルウェアは、以下のプロセスに自身を組み込み、システムのプロセスに常駐します。

• svchost.exe

自動実行方法

マルウェアは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\NWCWorkstation
DisplayName = NetWare Workstations

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\NWCWorkstation
ObjectName = LocalSystem

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\NWCWorkstation
Type = 0

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\NWCWorkstation
Start = 2

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\NWCWorkstation
ErrorControl = 1

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\NWCWorkstation
ImagePath = %SystemRoot%\System32\svchost.exe -k netsvcs

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\NWCWorkstation
Description = "Provide NetWare network file and print resources visit."

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\NWCWorkstation\Parameters
ServiceDll = "%SystemRoot%\System32\msnetacsvc.dll"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\NWCWorkstation\Security
Security = {hex values}

バックドア活動

マルウェアは、以下のポートを開きます。

• UDP port 80 (HTTP)

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスし、ファイルをダウンロードします。

• http://{BLOCKED}8.114.26/images/{random}.gif
• http://{BLOCKED}8.114.26/pic/{random}.gif
• http://{BLOCKED}8.114.26/image/{random}.gif
• http://{BLOCKED}8.114.26/binary/{random}.gif
• http://{BLOCKED}8.114.26/news/{random}.gif
• http://{BLOCKED}8.114.26/index/{random}.gif
• http://{BLOCKED}8.114.26/picture/{random}.gif
• http://{BLOCKED}8.114.26/bbs/{random}.gif

マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %User temp%\{random file name}.tmp

・その他：

マルウェアは、暗号化ファイルをダウンロードした後、これらのファイルを復号して読み込みます。これらのファイルは、マルウェアが感染コンピュータ上で実行するバックドアのコマンドを含んでいます。