BKDR_DARKMOON.K

マルウェアは、特定のレジストリ値を問い合わせることによって、感染コンピュータの既定のインターネットブラウザを確認します。

ブラウザのインスタンスが実行中の場合、マルウェアは、ブラウザにリモートサーバに接続するスレッドを組み込みます。ブラウザが実行中ではないことを確認した場合、マルウェアは、上記で確認したブラウザの新しいプロセスを開き、リモートサーバに接続するスレッドを組み込みます。これにより、不正リモートユーザは感染コンピュータ上で任意のコマンドを実行することが可能となります。

マルウェアは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。

マルウェアは、ワーム活動の機能を備えていません。

マルウェアは、ダウンロードする機能を備えていません。

マルウェアは、情報収集する機能を備えていません。

侵入方法

マルウェアは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。

インストール

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• DK*&#KAUY

マルウェアは、以下の通常のプロセスにスレッドを組み込みます。

• Explorer.exe

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Local AppWizard-GeneraTed Applications\
bricks

HKEY_CURRENT_USER\Software\Local AppWizard-GeneraTed Applications\
bricks\Recent File List

HKEY_CURRENT_USER\Software\Local AppWizard-GeneraTed Applications\
bricks\Settings

感染活動

マルウェアは、ワーム活動の機能を備えていません。

バックドア活動

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• {BLOCKED}n.dyndns-mail.com

ダウンロード活動

マルウェアは、ダウンロードする機能を備えていません。

情報漏えい

マルウェアは、情報収集する機能を備えていません。

その他

マルウェアは、以下のレジストリ値を問い合わせることによって、感染コンピュータの既定のインターネットブラウザを確認します。

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\http\shell\open\command
（既定） = "＜インターネットブラウザのパス名およびファイル名＞"

ブラウザのインスタンスが実行中の場合、マルウェアは、ブラウザにリモートサーバに接続するスレッドを組み込みます。ブラウザが実行中ではないことを確認した場合、マルウェアは、上記で確認したブラウザの新しいプロセスを開き、リモートサーバに接続するスレッドを組み込みます。これにより、不正リモートユーザは感染コンピュータ上で任意のコマンドを実行することが可能となります。

マルウェアは、ルートキット機能を備えていません。

マルウェアは、脆弱性を利用した感染活動を行いません。