BKDR_CORKOW.VDH

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、不正リモートユーザからリモートで受信する特定のコマンドを実行します。これにより、感染コンピュータおよび同コンピュータ上の情報は危険にさらされることとなります。

マルウェアは、感染コンピュータから特定の情報を収集します。

マルウェアが自身の不正活動を実行するためには、メインとなるコンポーネントが必要になります。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• Global\{GUID}

マルウェアは、以下のプロセスにコードを組み込みます。

• java.exe
• javaw.exe

他のシステム変更

マルウェアは、インストールの過程で、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\SOFTWARE\Intel\
{random}
{random} = "{hex values}" =

HKEY_CLASSES_ROOT\WbemScripting.SWbemLastError\CurVer\
{random}
{random} = "{hex values}" =

マルウェアは、インストールの過程で、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\SOFTWARE\Intel\
{random}

HKEY_CLASSES_ROOT\WbemScripting.SWbemLastError\CurVer\
{random}

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Download and execute other files
• Update itself
• Download configuration file
• Delete files
• Uninstall itself

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• http://{BLOCKED}ov.biz/rtl/cef.php
• http://{BLOCKED}0.com/rtl/cef.php
• http://{BLOCKED}ov.biz/rtl/sign.php
• http://{BLOCKED}0.com/rtl/sign.php

ダウンロード活動

マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %User Temp%\{random}.tmp

(註：%User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

情報漏えい

マルウェアは、Webブラウザに自身を組み込み、ユーザが以下の検索エンジンで行う検索を監視します。

• iexplore.exe
• firefox.exe

マルウェアは、感染コンピュータから以下の情報を収集します。

• Machine GUID
• OS Installation date
• OS version
• Volume information
• Computer Name

その他

マルウェアは、以下のWebサイトにアクセスしてインターネット接続を確認します。

• http://download.windowsupdate.com/
• http://windowsupdate.microsoft.com/

マルウェアが自身の不正活動を実行するためには、メインとなるコンポーネントが必要になります。