BKDR_DEXTR.C

マルウェアは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。 マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。

マルウェアは、ユーザのキー入力操作情報を記録し、情報を収集します。

侵入方法

マルウェアは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• {Malware Path}\SecureDll.dll - keylogger module loaded to iexplore.exe also detected as BKDR_DEXTR.C

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Application Data%\Java Security Plugin\javaplugin.exe

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

マルウェアは、以下のプロセスを追加します。

• iexplore.exe

マルウェアは、以下のフォルダを作成します。

• %Application Data%\Java Security Plugin

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

マルウェアは、以下のプロセスに自身を組み込み、システムのプロセスに常駐します。

• iexplore.exe created process

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
Sun Java Security Plugin = "%Application Data%\Java Security Plugin\javaplugin.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
Sun Java Security Plugin = "%Application Data%\Java Security Plugin\javaplugin.exe"

マルウェアは、以下のファイルを作成します。

• {malware path}\strokes.log
• {malware path\tmp.log
• {malware path}\debug.log

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\HelperSolutions Software

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
Associations

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\HelperSolutions Software
digit = "{GUID}"

HKEY_CURRENT_USER\Software\HelperSolutions Software
val1 = "{malware path}\strokes.log"

HKEY_CURRENT_USER\Software\HelperSolutions Software
val2 = "{malware path}\tmp.log"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
Associations
LowRiskFileTypes = ".exe;.bat;.reg;.vbs;"

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Update (update copy)
• Checkin (set the delay it sends information)
• Scanin (set the delay it checks memory for information)
• Uninstall (uninstall itself)
• Download (download and execute a file)

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• hi.{BLOCKED}o.biz/fk/gateway.php
• {BLOCKED}.{BLOCKED}.115.107/ial9121988921973dsadas8dsa080dsa/gateway.php
• {BLOCKED}.{BLOCKED}.44.11/base1/gateway.php
• {BLOCKED}.{BLOCKED}.44.11/w19218317418621031041543/gateway.php
• {BLOCKED}-service.in.ua/alfa/gateway.php
• {BLOCKED}.{BLOCKED}.67.242/~microsre/9e6e2103559968f8a876156c6ff2acad/gateway.php
• {BLOCKED}.{BLOCKED}.78.24/e78826c4e629f7036312259d7a83ed05/gateway.php

情報漏えい

マルウェアは、以下の情報を収集します。

• {GUID}
• Username
• Hostname
• Operating System
• Processor type
• List of running processes
• Key to decrypt sent information

マルウェアは、ユーザのキー入力操作情報を記録し、情報を収集します。

その他

マルウェアが作成し、“iexplore.exe”に読み込まれるキーロガーのモジュールである以下のファイルは、「BKDR_DEXTR.C」として検出されます。

• {Malware Path}\SecureDll.dll

マルウェアが実行する不正リモートユーザからのコマンドは以下のとおりです。

• Update(コピーの更新)
• Checkin(マルウェアの情報送信の遅延を設定)
• Scanin(マルウェアが情報のメモリを確認する遅延を設定)
• Uninstall(自身のアンインストール)
• Download(ファイルのダウンロードと実行)

マルウェアは、以下の情報を収集します。

• {GUID}
• ユーザ名
• ホスト名
• オペレーティングシステム(OS)
• プロセッサーのタイプ
• 実行中のプロセスのリスト
• 送信された情報を復号するためのキー

マルウェアは、ユーザのキー入力操作情報を記録し、情報を収集します。

マルウェアは、感染したコンピュータのメモリをダンプし、そのコンピュータ内の支払明細書およびクレジットカードの情報といった個人情報を確認します。