BKDR_DASERF.AO

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、ワーム活動の機能を備えていません。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。 ただし、情報公開日現在、このWebサイトにはアクセスできません。

マルウェアは、ダウンロードする機能を備えていません。

マルウェアは、感染コンピュータや感染ユーザから特定の情報を収集します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %System Root%\Program Files\Common Files\System\Library\msid.dat - If administrator
• %User Profile%\System\Library\msid.dat - If non-administrator

(註：%System Root%フォルダは、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。. %User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞" です。)

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %System Root%\Program Files\Common Files\System\Library\msnsd.exe - If administrator
• %User Profile%\System\Library\msnsd.exe - If non-administrator

(註：%System Root%フォルダは、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。. %User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞" です。)

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• msmsnsrv

マルウェアは、以下のプロセスに自身を組み込み、システムのプロセスに常駐します。

• explorer.exe

自動実行方法

マルウェアは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\msmsnsrv

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\msmsnsrv
Type = "10" (If administrator only)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\msmsnsrv
Start = "2" (If administrator only)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\msmsnsrv
ErrorControl = "1" (If administrator only)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\msmsnsrv
ImagePath = "%System Drive%\Program Files\Common Files\System\Library\msnsd.exe" (If administrator only)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\msmsnsrv
DisplayName = "Microsoft Windows Network Provider Sevice" (If administrator only)

感染活動

マルウェアは、ワーム活動の機能を備えていません。

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Terminates Processes
• Delete Files
• Send Files
• Execute Files
• Perform Remote Shell
• Install Services
• Start Services
• Delete Services

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• http://account.{BLOCKED}me.com/jp/
• http://tech.{BLOCKED}et.com/jp/

ただし、情報公開日現在、このWebサイトにはアクセスできません。

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスして自身のコンポーネントファイルをダウンロードします。

• http://account.{BLOCKED}me.com/jp/addr.gif - inaccessible
• http://tech.{BLOCKED}net.com/jp/addr.gif- inaccessible

マルウェアは、ダウンロードする機能を備えていません。

情報漏えい

マルウェアは、以下の情報を収集します。

• Computer Name
• System Default Language ID
• OS Version
• Is administrator
• Is 64-bit

マルウェアが収集する情報は以下のとおりです。

• コンピュータ名
• システムの既定言語識別子
• オペレーティングシステム（OS）のバージョン
• 管理者権限でコンピュータが実行しているかどうか
• 64-bitのコンピュータで実行しているかどうか

マルウェアは、以下のコマンド＆コントロール（C&C）サーバに情報を送信します。

• http://tech.{BLOCKED}net.com/jp/ahewt.asp
• http://tech.{BLOCKED}net.com/jp/cjbcs.asp
• http://tech.{BLOCKED}net.com/jp/dwqzj.asp
• http://tech.{BLOCKED}net.com/jp/ewiuj.asp
• http://tech.{BLOCKED}net.com/jp/fhery.asp
• http://tech.{BLOCKED}net.com/jp/kwlge.asp
• http://tech.{BLOCKED}net.com/j /qdlbo.asp
• http://tech.{BLOCKED}net.com/jp/rfhgj.asp
• http://tech.{BLOCKED}net.com/jp/sjhvx.asp
• http://tech.{BLOCKED}net.com/jp/uyiwe.asp
• http://tech.{BLOCKED}net.com/jp/vueyy.asp
• http://tech.{BLOCKED}net.com/jp/wukdf.asp
• http://tech.{BLOCKED}net.com/jp/xhtty.asp
• http://tech.{BLOCKED}net.com/jp/zhnxc.asp

その他

マルウェアが作成するファイルは以下のとおりです。

管理者権限を持っている場合

• %System Root%\Program Files\Common Files\System\Library\msid.dat
• %System Root%\Program Files\Common Files\System\Library\msnsd.exe

管理者権限を持っていない場合

• %User Profile%\System\Library\msid.dat
• %User Profile%\System\Library\msnsd.exe

マルウェアが実行するコマンドは以下のとおりです。

• プロセスの終了
• ファイルの削除
• ファイルの送信
• ファイルの実行
• リモートシェルの実行
• サービスのインストール
• サービスの開始
• サービスの削除

マルウェアは、ルートキット機能を備えていません。

マルウェアは、脆弱性を利用した感染活動を行いません。