BKDR_FLUXAY.A

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、ワーム活動の機能を備えていません。

マルウェアは、他のファイルを作成する機能を備えていません。

マルウェアは、ダウンロードする機能を備えていません。

マルウェアは、情報収集する機能を備えていません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

感染活動

マルウェアは、ワーム活動の機能を備えていません。

作成活動

マルウェアは、他のファイルを作成する機能を備えていません。

ダウンロード活動

マルウェアは、ダウンロードする機能を備えていません。

情報漏えい

マルウェアは、情報収集する機能を備えていません。

その他

マルウェアは、以下の3つのコンポーネントで構成されています。

• Pipecmdsrv.exe - 感染コンピュータにインストールされ、不正リモートユーザからのコマンドを実行する
• Pipecmd.exe - マルウェアをインストールし、リモートコンピュータへ接続する
• Ntcmd.exe - リモートコンピュータ上で使用される不正リモートユーザのインターフェース

サーバーコンポーネント

サーバーコンポーネントは、不正リモートユーザによって "Pipecmdsrv.exe" として＜Windowsシステムフォルダ＞にインストールされます。このサービス名は、"PipeCmdSrv" です。

"Pipecmdsrv.exe" は、インストールされると、以下のレジストリキーを作成します。

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Enum\Root\LEGACY_PIPECMDSRV

サービス "PipeCmdSrv" が起動すると、以下の名前のパイプを作成します。

• \\.\pipe\PipeCmd_communication
• \\.\pipe\PipeCmd_stdin%s%d
• \\.\pipe\PipeCmd_stdout%s%d
• \\.\pipe\PipeCmd_stderr%s%d

不正リモートユーザは上記で作成したパイプを利用して感染コンピュータに接続し、以下の項目を含むコマンドを実行します。

• 他のバックドア型マルウェアといったファイルを感染コンピュータ上でアップロードする
• 遠隔でファイルを実行する
• 感染コンピュータ上のデータおよびファイルの読み込み

サーバは、「dir c:\*.*」といったコマンドを受信します。またコマンド実行のためにコマンドシェル「cmd.exe」を感染コンピュータに転送します。

クライアントコンポーネント

マルウェアのクライアントコンポーネントは、以下の2つのファイルで構成されています。

• ntcmd.exe - コマンドを入力するための不正リモートユーザのインターフェース
• pipecmd.exe - 感染コンピュータに接続し、不正リモートユーザのコマンドを送信する。不正リモートユーザがインターフェース "ntcmd.exe" に入力したすべてのコマンドは、"pipecmd.exe" に転送される

以下のパラメータは感染コンピュータと接続を確立するために必要となります。

• IPアドレス
• ユーザ名
• パスワード
• コマンド

マルウェアは、ルートキット機能を備えていません。

マルウェアは、脆弱性を利用した感染活動を行いません。