BKDR_BIFROSE.DQJ

マルウェアは、Internet Explorer（IE）のウィンドウを非表示で開きます。

マルウェアは、ユーザのキー入力操作情報を記録し、情報を収集します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Windows%\calc.exe

(註：%Windows%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows9x、Me、XP、Server 2003の場合、"C:\Window"、WindowsNT および 2000の場合、"C:\WINNT" です。)

マルウェアは、以下のファイルを作成します。

• %Windows%\calc - non-malicious file

(註：%Windows%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows9x、Me、XP、Server 2003の場合、"C:\Window"、WindowsNT および 2000の場合、"C:\WINNT" です。)

マルウェアは、以下のプロセスに自身を組み込み、システムのプロセスに常駐します。

• EXPLORER.EXE

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• )!VoqA.I4

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
Tibiabot = %Windows%\calc.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Active Setup\Installed Components\{A607F45D-EB17-BE13-3893-3749250B46A6}
StubPath = %Windows%\calc.exe

バックドア活動

マルウェアは、IEのウィンドウを非表示で開きます。

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• {BLOCKED}us.no-ip.biz

情報漏えい

マルウェアは、ユーザのキー入力操作情報を記録し、情報を収集します。

情報収集

収集した情報は、以下のファイルに保存されます。

• %Windows%\calc

(註：%Windows%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows9x、Me、XP、Server 2003の場合、"C:\Window"、WindowsNT および 2000の場合、"C:\WINNT" です。)

その他

このマルウェアのコードから、マルウェアは、以下の機能を備えています。

• Arrives bundled with an experimental Mozilla Firefox add-on that when installed, executes malicious file.