BKDR_DUSVEXT.B

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。 マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %System Root%\svstem32.exe

(註：%System Root%は、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。)

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• VN_MUTEX16

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
svstem32 = %System Root%\svstem32.exe

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Send message box
• Execute arbitrary commands
• Download and execute arbitrary files
• Get the process list
• Get the modules list
• Capture keystrokes
• Retrieve the keylogger logs
• Read file contents and retrieve it
• Uninstall and terminate itself
• Httpflood
• Remote shell
• Visit any webpage
• Update itself
• Steal informations (Hardware UID, LAN Ip Address, Computer Name, Country, Idle Time, Country Code)
• It may perform additional plugins (Webcam Capture, Desktop Capture, Sound Capture, etc.)

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• http://www.{BLOCKED}t-mr.com/images/.vr/tasks.php?uid={UID}
• http://www.{BLOCKED}t-mr.com/images/.vr/adduser.php?uid=UID}
• http://www.{BLOCKED}t-mr.com/VertexNet/