BKDR_DEXTR.D

マルウェアは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。 マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。

マルウェアは、Internet Explorer（IE）のゾーン設定を変更します。

マルウェアは、ユーザのキー入力操作情報を記録し、情報を収集します。

マルウェア マルウェアは、自身（コンピュータに侵入して最初に自身のコピーを作成した マルウェア ）を削除します。

侵入方法

マルウェアは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %Application Data%\Java Security Plugin\SecureDll.dll - keylogger module also detected as BKDR_DEXTR.D

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Application Data%\Java Security Plugin\javaplugin.exe

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

マルウェアは、以下のフォルダを作成します。

• %Application Data%\Java Security Plugin

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• Windows_Stability_Mutex_1

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
Sun Java Security Plugin = "%Application Data%\Java Security Plugin\javaplugin.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
Sun Java Security Plugin = "%Application Data%\Java Security Plugin\javaplugin.exe"

HKEY_USERS\.DEFAULT\SOFTWARE\
Microsoft\Windows\CurrentVersion\
Run
Sun Java Security Plugin = "%Application Data%\Java Security Plugin\javaplugin.exe"

マルウェアは、以下のファイルを作成します。

• %Application Data%\Java Security Plugin\strokes.logyrgh
• %Application Data%\Java Security Plugin\strokes.logasdq

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\HelperSolutions Software

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
Associations

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\HelperSolutions Software
digit = "{GUID}"

HKEY_CURRENT_USER\Software\HelperSolutions Software
val1 = "%Application Data%\Java Security Plugin\t"

HKEY_CURRENT_USER\Software\HelperSolutions Software
val2 = "%Application Data%\Java Security Plugin\t"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
Associations
LowRiskFileTypes = ".exe;.bat;.reg;.vbs;"

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Update (update copy)
• Checkin (set the delay it sends information)
• Scanin (set the delay it checks memory for information)
• Uninstall (uninstall itself)
• Download (download and execute a file)

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• {BLOCKED}.{BLOCKED}.14.69/a/gateway.php

Webブラウザのホームページおよび検索ページの変更

マルウェアは、IEのゾーン設定を変更します。

情報漏えい

マルウェアは、以下の情報を収集します。

• {GUID}
• Username
• Hostname
• Operating System
• Processor type
• List of running processes
• Key to decrypt sent information

マルウェアは、ユーザのキー入力操作情報を記録し、情報を収集します。

その他

マルウェア は、自身（コンピュータに侵入して最初に自身のコピーを作成した マルウェア ）を削除します。