BKDR_EMDIVI.PMS

マルウェアは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。 マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、ワーム活動の機能を備えていません。

マルウェアは、不正リモートユーザからリモートで受信する特定のコマンドを実行します。これにより、感染コンピュータおよび同コンピュータ上の情報は危険にさらされることとなります。

侵入方法

マルウェアは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

• %User Temp%\vmwere.exe

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

マルウェアは、以下の無害なファイルを作成します。

• %User Temp%\kptl.doc - decoy document file

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• fee87caf97c39d8da78d66f26c0537c6

自動実行方法

マルウェアは、＜User Startup＞フォルダ内に、自身のコピーに誘導する以下のショートカットを作成します。これにより、Windows起動時に自身のコピーが自動実行されます。

• %Start Menu%\Programs\Startup\vmwere.lnk (Windows Vista and higher versions)
• %Common Startup%\vmwere.lnk (Versions lower than Windows Vista)

(註：%Start Menu%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Windows\Start Menu" または "C:\Documents and Settings\＜ユーザ名＞\Start Menu"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu" です。.. %Common Startup%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\All Users\Start Menu\Programs\Startup"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\ProgramData\Microsoft\Windows\Start Menu\Programs\StartUp" です。.)

感染活動

マルウェアは、ワーム活動の機能を備えていません。

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Enumerate files and folders
• Delete files and folders
• Download files
• Upload files
• Execute files
• Get file attributes
• Enumerate processes
• Perform remote shell
• Loads a library using LoadLibrary API
• Import functions from a library using GetProcAddress API
• Gather credentials using CredEnumerate or PStoreCreateInstance API
• Gather Firefox settings from prefs.js
• Gather proxy settings from proxy.pac
• Gather proxy settings from windows registry
• Sleep

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• http://www.{BLOCKED}n.biz/wp-content/plugins/akismet/state/index.php
• http://www.{BLOCKED}to.jp/html/mainland/index.php
• http://www.{BLOCKED}hool.com/trouble/fuck/you/index.php

その他

マルウェアは、以下のWebサイトにアクセスしてインターネット接続を確認します。

• http://www.microsoft.com
• http://www.msftncsi.com
• http://www.yahoo.co.jp

マルウェアが作成する以下の無害なファイルは、おとりとして利用されます。

• %User Temp%\kptl.doc

マルウェアが作成するショートカットは、以下のとおりです。

• %Start Menu%\Programs\Startup\vmwere.lnk (Windows Vista 以上のバージョン)
• %Common Startup%\vmwere.lnk (Windows Vista 未満のバージョン)

マルウェアが実行するコマンドは、以下のとおりです。

• ファイルおよびフォルダの列挙
• ファイルおよびフォルダの削除
• ファイルのダウンロード
• ファイルのアップロード
• ファイルの実行
• ファイル属性の取得
• プロセスの列挙
• リモートシェルの実行
• LoadLibrary APIを使用してライブラリの読み込み
• GetProcAddress APIを使用してライブラリからのファンクションのインポート
• CredEnumerateまたはPStoreCreateInstance APIを使用して認証情報の取得
• prefs.jsからFirefox設定の取得
• proxy.pacからのプロキシ設定の取得
• Windowsレジストリからプロキシ設定の取得
• スリープ

マルウェアは、すべての可視ウィンドウを列挙し、各ウィンドウのタイトルバーのテキストと以下の文字列を比較します。

• Ollydbg
• Process Explorer
• Process Hacker
• Process Monitor
• SoftICE
• W32Dasm
• WireShark

ウィンドウのタイトルバーのテキストが上述の文字列を含む場合、マルウェアは、スリープコマンドの実行により、自身の不正活動の実行を中止します。

マルウェアは、文書のアイコンを備え、無害なファイル"kptl.doc"を作成します。マルウェアは、"kptl.doc"を開き、ユーザにマルウェアが正規のファイルであると装います。

マルウェアは、ルートキット機能を備えていません。

マルウェアは、脆弱性を利用した感染活動を行いません。