BKDR_FUCOBHA.EH

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

ただし、情報公開日現在、このWebサイトにはアクセスできません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のコンポーネントファイルを作成します。

• %Windows%\wdmaud.drv - also detected as BKDR_FUCOBHA.EH

(註：%Windows%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、"C:\Windows" です。)

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• myhorse_macfee

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Download Files
• Upload Files
• Execute Files
• Perform Remote Shell

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• http://{BLOCKED}n.net/jd/upload.aspx?filepath=info&filename={Host Name}_{Local IP Address}.jpg
• http://{BLOCKED}n.net/jd/upload.aspx?filepath=ok&filename={Host Name}_{Local IP Address}.jpg

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスし、ファイルをダウンロードします。

• http://{BLOCKED}n.net/jd/order/{Host Name}_{Local IP Address}.jpg

マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %User Temp%\order.dat

(註：%User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

情報漏えい

マルウェアは、以下の情報を収集します。

• Host Name
• Local IP Address
• Proxy Server (if any)
• Currently logged on user name
• System directory
• OS and System Version
• List of active processes in the machine

情報収集

マルウェアは、以下のファイル内に収集した情報を保存します。

• %User Temp%\tmp.dat

(註：%User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

マルウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

• http://{BLOCKED}n.net/jd/upload.aspx?filepath=info&filename={Host Name}_{Local IP Address}.jpg
• http://{BLOCKED}n.net/jd/upload.aspx?filepath=ok&filename={Host Name}_{Local IP Address}.jpg

その他

ただし、情報公開日現在、このWebサイトにはアクセスできません。