BKDR_DEXTR.A

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

マルウェアは、レストランやホテルといった施設で用いられる「POSシステム（Point of sale system）」を対象として、購入した顧客のクレジットカード情報を収集することが確認されています。感染コンピュータを所有する施設から購入することで、サイバー犯罪者によってユーザは金銭に関する情報が収集され、承認されていない支払いを請求されることがあります。

関連する情報については、以下の記事を参照してください。

• Infostealer Dexter Targets Checkout Systems

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、不正リモートユーザからリモートで受信する特定のコマンドを実行します。これにより、感染コンピュータおよび同コンピュータ上の情報は危険にさらされることとなります。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Application Data%\{random}\{random}.exe

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

マルウェアは、以下のプロセスを追加します。

• iexplore.exe

マルウェアは、以下のフォルダを作成します。

• %Application Data%\{random}

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• WindowsResilienceServiceMutex

マルウェアは、以下のプロセスに自身を組み込み、システムのプロセスに常駐します。

• iexplore.exe

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{GUID} = "%Application Data%\{random}\{random}.exe"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{GUID} = "%Application Data%\{random}\{random}.exe"

他のシステム変更

マルウェアは、インストールの過程で、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Resilience Software
Digit = "{GUID}"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
Associations
LowRiskFileTypes = ".exe;.bat;.reg;.vbs;"

マルウェアは、インストールの過程で、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Resilience Software

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
Associations

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Update (update copy)
• Checkin (set the delay it sends information)
• Scanin (set the delay it checks memory for information)
• Uninstall (uninstall itself)
• Download (download and execute a file)

情報漏えい

マルウェアは、以下の情報を収集します。

• {GUID}
• Username
• Hostname
• Operating System
• Processor type
• List of running processes
• Key to decrypt sent information

情報収集

マルウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

• http://{BLOCKED}.com/portal1/gateway.php
• http://{BLOCKED}.17.126/test/gateway.php

その他

マルウェアが実行するコマンドは以下のとおりです。

• Update（コピーの更新）
• Checkin（マルウェアの情報送信の遅延を設定）
• Scanin（マルウェアが情報のメモリを確認する遅延を設定）
• Uninstall（自身のアンインストール）
• Download（ファイルのダウンロードおよび実行）

マルウェアが収集する情報は以下のとおりです。

• ＜GUID＞
• ユーザ名
• ホスト名
• オペレーティングシステム（OS）
• プロセッサのタイプ
• 実行中プロセスのリスト
• 送信された情報の復号キー

マルウェアは、感染コンピュータのメモリをダンプし、このコンピュータに保存された支払明細やクレジットカード情報といった個人情報を確認します。