BKDR_FULAIRO.SM

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

自動実行方法

マルウェアは、＜User Startup＞フォルダ内に、自身のコピーに誘導する以下のショートカットを作成します。これにより、Windows起動時に自身のコピーが自動実行されます。

• AntiVir_Update.url

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• It receives a shell command from http://{CnC Server}/{varies}/com.php and performs it using shell execute.
• The output result will be saved as %User Temp%\~AC43E.tmp and will be sent via http as http://{CnC Server}/{varies}/info.php?Re={output result}. %User Temp%\~AC43E.tmp will be deleted afterwards.

(註：%User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• http://{BLOCKED}.{BLOCKED}.114.231/
• http://{BLOCKED}.{BLOCKED}.3.152
• http://{BLOCKED}.{BLOCKED}.162.223
• http://{BLOCKED}.{BLOCKED}.234.41/

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスし、ファイルをダウンロードします。

• http://{C&C Server}/{Varies}/update.html

マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %User Temp%\~WDA4581A.tmp

(註：%User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

情報漏えい

マルウェアは、以下の情報を収集します。

• list of running processes

情報収集

マルウェアは、以下のファイル内に収集した情報を保存します。

• %User Temp%\~Pro75C.DAT

(註：%User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

マルウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

• http://{C&C server}/{varies}/info.php?secue={status}&pro={logged info(running processes)}