BKDR_GADWATS.A

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %AppDataLocal%\upout.txt - debug log file

(註：%AppDataLocal%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local" です。)

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• 00000BE1-3C6F-F87E-121C-DEFC0E83527E

マルウェアは、以下のプロセスにコードを組み込みます。

• iexplore.exe

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
ZoneMap\Domains\google.com

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
ZoneMap\Domains\google.com\
docs

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
ZoneMap\Domains\stocksmarketwatch.com

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
ZoneMap\Domains\stocksmarketwatch.com\
www

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
ZoneMap\Domains\technetcdn.com

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
ZoneMap\Domains\technetcdn.com\
www

マルウェアは、インストールの過程で、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
ZoneMap\Domains\google.com\
docs
http = "2"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
ZoneMap\Domains\google.com\
docs
https = "2"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
ZoneMap\Domains\stocksmarketwatch.com\
www
http = "2"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
ZoneMap\Domains\stocksmarketwatch.com\
www
https = "2"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
ZoneMap\Domains\technetcdn.com\
www
http = "2"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
ZoneMap\Domains\technetcdn.com\
www
https = "2"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
Zones\2
2500 = "3"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
Zones\3
2500 = "3"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
Zones\3
NoProtectedModeBanner = "1"

マルウェアは、インストールの過程で以下のレジストリキーまたはレジストリ値を変更します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
Zones\2
Flags = "43"

(註：変更前の上記レジストリ値は、「47」となります。)

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• INSTALL_STARTUP - Not yet implemented
• INSTALL_REGISTRY - Not yet implemented
• UNINSTALL - Not yet implemented
• DOWNLOAD - Download file from C&C server
• DOWNLOAD_URL - Download file from specific URL
• UPLOAD - Upload file to C&C server
• RUN - Perform remote shell
• RUN_ASYNC - Perform remote shell asynchronously
• RUN_NOSHELL - Not yet implemented
• TEST_CHANNEL - Test a specific C&C server state
• SET_PROP - Set specific malware configuration
• SET_CURRENT_CHANNEL - Change C&C server
• GET_PROP - Get specific malware configuration
• GET_ALL_PROPS - Get all malware configuration
• GET_ALL_CHANNELS - Get all available C&C server list
• SCREENSHOT - Not yet implemented
• ENABLE_EXTENSIONS - download a DLL file and initialize as browser extension
• AUTO_ADMIN - Auto administration
• QUIT - End remote access session

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• https://www.{BLOCKED}arketwatch.com/exchange/stocks.html

マルウェアは、コマンド＆コントロール（C&C）サーバに以下の情報を通知します。

• User name
• User domain
• Is user admin
• Hostname
• Computer domain
• Logon server
• OS version
• UAC level