BKDR_BLADABINDI.XZH

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。 マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。 ただし、情報公開日現在、このWebサイトにはアクセスできません。

マルウェアは、Internet Explorer（IE）のゾーン設定を変更します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のフォルダを追加します。

• %User Temp%\ns{random}.tmp
• %User Temp%\domain

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

マルウェアは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

• %User Temp%\domain\wdacl.exe
• %Application Data%\spoolsc.exe

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.. %Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

マルウェアは、以下のファイルを作成します。

• %User Temp%\ns{random}.tmp\marshmallow.dll
• %User Temp%\arrow.gif
• %User Temp%\74_453286.png
• %User Temp%\global.js
• %User Temp%\fluke lower.jpg
• %User Temp%\banannanananejakl1
• %User Temp%\container.html
• %User Temp%\tag
• %User Temp%\449bb7442d3adb6f70f6c7bcde488946.cf.jpg
• %User Temp%\homepage_poptop_getcovered.gif

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

マルウェアは、自身（コンピュータに侵入して最初に自身のコピーを作成したマルウェア）を終了し、侵入したコンピュータ内で作成した自身のコピーの方を実行します。

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKCU\Software\Microsoft\
Windows\CurrentVersion\RunOnce
spoolsc = '%Application Data%\spoolsc.exe'

他のシステム変更

マルウェアは、以下のファイルを削除します。

• created %Application Data%\ns{random}.tmp\marshmallows.dll

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

マルウェアは、以下のフォルダを削除します。

• created %Application Data%\ns{random}.tmp

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Download and execute files
• Compress files for uploading
• Load plugins
• Ping
• Registry management
• Remote shell execution
• Restart
• Screenshot
• Unistall itself
• Update itself
• Terminate itself

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• http:\metro.{BLOCKED}k.net

ただし、情報公開日現在、このWebサイトにはアクセスできません。

Webブラウザのホームページおよび検索ページの変更

マルウェアは、IEのゾーン設定を変更します。