BKDR_FUPDATE.A

マルウェアは、他のマルウェアのパッケージとともにコンポーネントとしてコンピュータに侵入します。 マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

侵入方法

マルウェアは、他のマルウェアのパッケージとともにコンポーネントとしてコンピュータに侵入します。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• ___exception_{port}___

他のシステム変更

マルウェアは、以下のレジストリ値を作成し、Windowsのファイアウォールを回避します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\SharedAccess\Parameters\
FirewallPolicy\FirewallRules
{GUID} = "v2.10|Action=Allow|Active=TRUE|Dir=In|App={malware path and filename}|Name=Microsoft IME Dictionary Update|" ← (For Windows Vista and Above)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\GloballyOpenPorts\
List
{port}:UDP = "{port}:UDP:*:Enabled:Microsoft IME Dictionary Update" ← (For Windows XP and Below)

バックドア活動

マルウェアは、以下のポートを開き、リモートコマンドを待機します。

• 2580

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• runas - execute commands with Administrator rights
• endx - terminate itself
• Perform remote shell

その他

マルウェアが実行するコマンドは、以下のとおりです。

• runas - 管理者権限でコマンドを実行
• endx - 自身の終了
• リモートシェルの実行

マルウェアは、以下のコマンドを実行し、Windowsのファイアウォールを回避します

• cmd /c netsh adv fi del rule name="Microsoft IME Dictionary Update" & netsh adv fi add rule name="Microsoft IME Dictionary Update" dir=in prog="{malware path and filename}" act=allow - (Windows Vista 以上)
• cmd /c netsh fi del po UDP {port} & netsh fi add po UDP {port} "Microsoft IME Dictionary Update" - (Windows XPおよび以下のバージョン)

「{port}」はデフォルトで、"2580"です。マルウェアは、パラメータとして、ポートを追加することにより改変されます。

マルウェアは、ルートキット機能を備えていません。

マルウェアは、脆弱性を利用した感染活動を行いません。