BKDR_BOTIME.A

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、実行後、自身を削除します。

マルウェアは、ワーム活動の機能を備えていません。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のコンポーネントファイルを作成します。

• %system%\MSCTFIMEEXT.IME - detected as PTCH_REDUS.A

マルウェアは、実行後、自身を削除します。

マルウェアは、以下のプロセスにコードを組み込みます。

• svchost.exe

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\ODBC\
Boot

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Control\Keyboard Layouts\E6861806

マルウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\ODBC
ie = "{malware's location}\{malware name}"

HKEY_LOCAL_MACHINE\SOFTWARE\ODBC
id2 = "{16 alphanumeric characters}"

HKEY_LOCAL_MACHINE\SOFTWARE\ODBC
it2 = it2 = "{binary data}"

HKEY_LOCAL_MACHINE\SOFTWARE\ODBC\
Boot
Runner1 = "{encrypted chunk of codes}"

HKEY_USERS\.DEFAULT\Software\
Microsoft\Internet Explorer\Main
Start Page = "about:blank"

HKEY_USERS\.DEFAULT\Software\
Microsoft\Windows\CurrentVersion\
Internet Settings
PrivacyAdvanced = "0"

HKEY_USERS\.DEFAULT\Software\
Microsoft\Windows\CurrentVersion\
Internet Settings
EnableHttp1_1 = "1"

HKEY_USERS\.DEFAULT\Software\
Microsoft\Windows\CurrentVersion\
Internet Settings
CertificateRevocation = "1"

HKEY_USERS\.DEFAULT\Software\
Microsoft\Windows\CurrentVersion\
Internet Settings
DisableCachingOfSSLPages = "1"

HKEY_USERS\.DEFAULT\Software\
Microsoft\Windows\CurrentVersion\
Policies\Explorer
NoFavoritesMenu = "1"

マルウェアは、以下のレジストリ値を変更します。

HKEY_USERS\.DEFAULT\Keyboard Layout\
Preload
1 = "E6861806"

(註：変更前の上記レジストリ値は、「00000409」となります。)

HKEY_USERS\.DEFAULT\Software\
Microsoft\Windows\CurrentVersion\
Internet Settings\Zones\3
CurrentLevel = "0"

(註：変更前の上記レジストリ値は、「69632」となります。)

HKEY_USERS\.DEFAULT\Software\
Microsoft\Windows\CurrentVersion\
Internet Settings\Zones\3
1001 = "3"

(註：変更前の上記レジストリ値は、「1」となります。)

HKEY_USERS\.DEFAULT\Software\
Microsoft\Windows\CurrentVersion\
Internet Settings\Zones\3
1201 = "0"

(註：変更前の上記レジストリ値は、「3」となります。)

HKEY_USERS\.DEFAULT\Software\
Microsoft\Windows\CurrentVersion\
Internet Settings\Zones\3
1601 = "0"

(註：変更前の上記レジストリ値は、「1」となります。)

HKEY_USERS\.DEFAULT\Software\
Microsoft\Windows\CurrentVersion\
Internet Settings\Zones\3
1C00 = "0"

(註：変更前の上記レジストリ値は、「65536」となります。)

感染活動

マルウェアは、ワーム活動の機能を備えていません。

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Download and execute arbitrary files.
• Shut down the computer.
• Steal system information.
• List security-related processes.

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• http://ip.{BLOCKED}n.net
• http://tp.{BLOCKED}n.net

その他

マルウェアが作成するコンポーネントファイルは「PTCH_REDUS.A」として検出されます。

• %system%\MSCTFIMEEXT.IME

マルウェアが実行するコマンドは以下のとおりです。

• 任意のファイルのダウンロードおよび実行
• コンピュータのシャットダウン
• システム情報の収集
• セキュリティ関連プロセスの列挙

マルウェアは、ファイル "%system%\MSCTFIME.IME" をコピーし以下のように保存します。

• %system%\MSCTFIMEEXT.IME

マルウェアは、コピーされたファイルのエクスポート機能 "ImeInquire" を変更し、自身の自動実行コンポーネントとして利用します。

そして、マルウェアは、以下のレジストリ値を追加し、キーボードが使用されているときに常に自身が自動実行されるようにします。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Keyboard Layouts\E6861806
IME File = "MSCTFIMEEXT.IME"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Keyboard Layouts\E6861806
Layout File = "KBDUS.DLL"

マルウェアは、作成された以下のレジストリ値の「{encrypted chunk of codes}」を復号および実行する "svchost.exe" のメモリにコードを挿入します。

HKEY_LOCAL_MACHINE\SOFTWARE\ODBC\Boot
Runner1 = "{encrypted chunk of codes}"

マルウェアは、ルートキット機能を備えていません。

マルウェアは、脆弱性を利用した感染活動を行いません。