BKDR_FARFLI.AHZ

マルウェアは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。 マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、不正リモートユーザからリモートで受信する特定のコマンドを実行します。これにより、感染コンピュータおよび同コンピュータ上の情報は危険にさらされることとなります。

侵入方法

マルウェアは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

• %Program Files%\Oklm\Tklmnopqr.jpg

(註：%Program Files%は、標準設定では "C:\Program Files" です。)

マルウェアは、以下のフォルダを作成します。

• %Program Files%\Oklm

(註：%Program Files%は、標準設定では "C:\Program Files" です。)

自動実行方法

マルウェアは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\{random number 1}\
Parameters
ServiceDll = "%Program Files%\Oklm\Tklmnopqr.jpg"

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\{random number 1}

HKEY_LOCAL_MACHINE\SOFTWARE\{random number 2}

HKEY_LOCAL_MACHINE\SOFTWARE\{random number 1}\
Parameters

HKEY_CURRENT_USER\NetSubKey

バックドア活動

マルウェアは、以下のポートを開き、リモートコマンドを待機します。

• 8000

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Screen Capture
• Record audio and webcam video
• List, Create and Delete Services
• Start/Stop services
• Log keyboard and mouse activities
• Perform remote shell
• Search/Manipulate Files
• Get System Information

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• {BLOCKED}.{BLOCKED}.66.222

その他

マルウェアは、以下のWebサイトにアクセスして感染コンピュータのIPアドレスを収集します。

• http://baidu.com/ip.txt