BKDR_ETUMBOT.NUO

マルウェアは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。 マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、ワーム活動の機能を備えていません。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。 ただし、情報公開日現在、このWebサイトにはアクセスできません。

マルウェアは、実行後、自身を削除します。

侵入方法

マルウェアは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のフォルダを追加します。

• %Application Data%\LHA

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

マルウェアは、以下のファイルを作成します。

• {Current Malware Path}\~bctp2a -> encrypted form of the fake document, deleted afterwards

マルウェアは、以下のファイルを作成し実行します。

• {Full malware path and filename excluding the extension, minus 4 characters at the end}.doc -> decrypted form of fake document, executed by the malware in order to distract the user while the main malicious routine (backdoor) is afftecting the system
  For example:
  C:\Test\1.exe -> C:\Te.doc
• %Application Data%\LHA\LHAUpd.exe -> detected as BKDR_ETUMBOT.NUO

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
LHAUpd = "%AppData%\LHA\LHAUpd.exe"

感染活動

マルウェアは、ワーム活動の機能を備えていません。

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Execute arbitrary files/codes
• Download files
• Upload files
• Delete files
• Enumerate printers
• Sleep

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• http://{BLOCKED}.{BLOCKED}.115.83/library/ja-jp/{ID}={Generated Infected Computer’s ID with an appended random numbers}/ta=3afe27aa-6c2d-5c21-94de-8bc342ec72b2/bm={random code number}#{Encrypted Data}
  where {Encrypted Data} contains the encrypted form of the gathered information from the affected machine

ただし、情報公開日現在、このWebサイトにはアクセスできません。

情報漏えい

マルウェアは、以下の情報を収集します。

• User Name
• Computer Name
• IP Address
• OS Version
• System Directory

その他

マルウェアは、実行後、自身を削除します。

マルウェアが作成する以下のファイルは、偽の文書ファイルが暗号化されたもので、その後、削除されます。

• {Current Malware Path}\~bctp2a

マルウェアが作成する以下のファイルは、偽の文書ファイルが復号されたものです。メインのバックドア活動を実行中に、ユーザを注意をそらせるためにマルウェアによって実行されます。例：C:\Test\1.exe -> C:\Te.doc

• {Full malware path and filename excluding the extension, minus 4 characters at the end}.doc

マルウェアが作成する以下のファイルは、「BKDR_ETUMBOT.NUO」として検出されます。

• %Application Data%\LHA\LHAUpd.exe

マルウェアが実行する不正リモートユーザからのコマンドは以下のとおりです。

• 任意のファイル/コードの実行
• ファイルのダウンロード
• ファイルのアップロード
• ファイルの削除
• プリンターの列挙
• スリープ

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。{Encrypted Data} の部分には、感染コンピュータから収集された情報が暗号化されたものが含まれています。

• http://{BLOCKED}.{BLOCKED}.115.83/library/ja-jp/{ID}=131161449/ta=3afe27aa-6c2d-5c21-94de-8bc342ec72b2/bm={random code number}&{Encrypted Data}

マルウェアは以下の情報を収集します。

• ユーザ名
• コンピュータ名
• IPアドレス
• オペレーティングシステム（OS）のバージョン
• システムディレクトリ

マルウェアは、ルートキット機能を備えていません。

マルウェアは、脆弱性を利用した感染活動を行いません。