BKDR_DEMTRAN.SM

マルウェアは、「TROJ_ADOBFP.SMA」によって作成され、コンピュータに侵入します。

マルウェアは、特定のレジストリ値を調べることにより、プロキシサーバが有効になっているかを確認します。

マルウェアは、特定のWebサイトおよび不正なサーバに接続し、不正リモートユーザからのコマンドを待機します。

マルウェアは、感染コンピュータから特定の情報を収集します。

マルウェアは、リモートサイトから他のマルウェア、グレイウェアまたはスパイウェアにダウンロードされ、コンピュータに侵入します。 マルウェアは、他のマルウェアに作成され、コンピュータに侵入します。

侵入方法

マルウェアは、リモートサイトから他のマルウェア、グレイウェアまたはスパイウェアにダウンロードされ、コンピュータに侵入します。

マルウェアは、以下のマルウェアに作成され、コンピュータに侵入します。

• TROJ_ADOBFP.SMA

バックドア活動

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• {BLOCKED}2.{BLOCKED}3.82.99

情報えい

マルウェアは、感染コンピュータから以下の情報を収集します。

• ユーザ名
• ホスト名
• IPアドレス
• Windowsのバージョン

その他

マルウェアは、以下のレジストリ値を調べることにより、プロキシサーバが有効になっているかを確認します。

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings
ProxyEnable

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings
ProxyServer

マルウェアは、以下のHTTP GETリクエストを介してリモートサーバへ接続します。

• {BLOCKED}2.{BLOCKED}3.82.99\AES{random}O{encrypted data}.jsp?{encrypted data}

また、マルウェアは、以下のサーバに接続します。

• {BLOCKED}2.{BLOCKED}3.82.99\SUS{random}O{random}.jsp?{encrypted data}
• {BLOCKED}2.{BLOCKED}3.82.99\SEU{random}O{random}.jsp?{encrypted data}
• {BLOCKED}2.{BLOCKED}3.82.99\ZES{random}O{random}.jsp?{encrypted data}
• {BLOCKED}2.{BLOCKED}3.82.99\PES{random}O{random}.jsp?{encrypted data}

マルウェアは、サーバへ接続すると、以下のコマンドを待機します。

• exit (マルウェアのプロセスの終了)
• put (ファイルのダウンロード)
• sleep（実行の一時停止）
• dos (特定のコマンドの実行)
• run (プロセスの追加)