BKDR_DARKOMET.M

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。 マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。

マルウェアは、ユーザのキー入力操作情報を記録し、情報を収集します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、以下のリモートサイトからダウンロードされコンピュータに侵入します。

• http://{BLOCKED}t.net/58361297
• http://{BLOCKED}t.net/58334163

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Application Data%\WinUpdate\WinUpdate.exe

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

マルウェアは、以下のフォルダを作成します。

• %Application Data%\WinUpdate
• %Application Data%\dclogs

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• DC_MUTEX-YVLL662

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
WinUpdate = "%Application Data%\WinUpdate\WinUpdate.exe"

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\DC3_FEXEC

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Disable RegistryTools
• Disable TaskMgr
• Disable Control Panel
• List disk drives
• List webcams and monitor/capture video
• Change MSN Messenger status & modify contact list
• Shutdown, Restart, Log off or Lock computer
• Empty Recycle Bin
• Visit arbitrary C&C servers
• List active windows
• Remote shell command
• Download and execute files
• Download updated copy of itself
• Upload files
• Log keystrokes
• Refresh or delete logs
• Modify system's host file
• Record and play sounds
• Open and close CD-ROM drive door
• Steal passwords
• Get torrent files
• Refresh Wifi
• Uninstall programs
• Start and control chat sessions
• Monitor activity by Remote Desktop Protocol
• DDOS Flooding
• Manipulate the following:
  • Browser
  • Clipboard
  • Desktop
  • Dialog Box
  • Files
  • Folders
  • Mouse clicks
  • Processes
  • Registries
  • Services
  • Shutdown button options
  • Start button
  • System clock
  • System tray
  • Taskbar
• Lessen system security level by:
  • Disabling update notification
  • Disabling AV notification
  • Disabling firewall
  • Disabling services
  • Disabling LUA notification

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• {BLOCKED}.{BLOCKED}.112.46:1604

作成活動

マルウェアは、以下のファイルを作成します。このファイルは、収集した情報を保存するために利用されます。

• %Application Data%\dclogs\{current date}-{number}.dc

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

情報漏えい

マルウェアは、以下の情報を収集します。

• Admin rights
• Computer/User name
• Language/Country
• Operating System information
• RAM used
• Web Cam information

マルウェアは、ユーザのキー入力操作情報を記録し、情報を収集します。