BKDR_CORUM.A

マルウェアは、他のマルウェアのパッケージとともにコンポーネントとしてコンピュータに侵入します。

マルウェアは、他の不正プログラムに利用されます。 マルウェア マルウェアは、自身（コンピュータに侵入して最初に自身のコピーを作成した マルウェア ）を削除します。

侵入方法

マルウェアは、他のマルウェアのパッケージとともにコンポーネントとしてコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %System Root%\Documents and Settings\All Users\Application Data\Microsoft\OpenGL\~{random}.dll
• %System Root%\Documents and Settings\All Users\Application Data\Microsoft\OpenGL\~3BF.tmp
• %System Root%\Documents and Settings\All Users\Application Data\Microsoft\OpenGL\~3BF.tmp32
• %System Root%\Documents and Settings\All Users\Application Data\Microsoft\OpenGL\~3BF.tmp64
• %System%\MurocApc.dll
• %System%\Setup\MurocApc.dll
• {malware path}\~022356.tme

(註：%System Root%は、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。. %System%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\System"、Windows NT および 2000 の場合、"C:\WinNT\System32"、Windows XP および Server 2003 の場合、"C:\Windows\System32" です。)

マルウェアは、以下のフォルダを作成します。

• %System Root%\Documents and Settings\All Users\Application Data\Microsoft\OpenGL
• %Program Files%\Microsoft\OpenGL
• %Program Files%\Microsoft\Search Enhancement Pack\OpenGL

(註：%System Root%は、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。. %Program Files%は、標準設定では "C:\Program Files" です。)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon\
Notify\ZmEvMon
DLLName = "%Program Files%\Microsoft\OpenGL\MurocApc.dll"

他のシステム変更

マルウェアは、インストールの過程で、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings
GlobalUserOffline = "0"

HKEY_CURRENT_USER\Software\Sysinternals\
Junction
EulaAccepted = "1"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\DomainProfile\AuthorizedApplications\
List
%System%\rundll32.exe = "%System%\rundll32.exe:*:Enabled:Run a DLL as an App"

マルウェアは、インストールの過程で、以下のレジストリキーを追加します。

HKEY_CLASSES_ROOT\Briefcase.Server

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Briefcase.Server

HKEY_CURRENT_USER\Software\Sysinternals\
Junction

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon\
Notify\ZmEvMon

その他

マルウェアは、他の不正プログラムに利用されます。

マルウェアは、以下の不正なWebサイトにアクセスします。

• http://pere{BLOCKED}bs.com/hj_logo.jpg
• http://www.{BLOCKED}w.cn/Images/hj_logo.jpg

マルウェア は、自身（コンピュータに侵入して最初に自身のコピーを作成した マルウェア ）を削除します。

マルウェアは、以下のディレクトリで確認されたすべてのフォルダとファイルをコピーします。オペレーティングシステム（OS）のバージョンは5です。（Windows 2000、Windows XP、およびWindows Server 2003）

• "%System%\Setup" から "%Program Files%\Microsoft\OpenGL" へコピー
• "%System%" から "%Program Files%\Microsoft\Search Enhancement Pack\OpenGL" へコピー

(註：%System%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、""C:\Windows\System""、Windows NT および 2000 の場合、""C:\WinNT\System32""、Windows XP および Server 2003 の場合、""C:\Windows\System32"" です。%Program Files%は、標準設定では "C:\Program Files" です。)