BKDR_GBOT.D

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

• %User Temp%\winsvchost\svchost.exe

(註：%User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

マルウェアは、以下のフォルダを作成します。

• %User Temp%\winsvchost

(註：%User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\policies\
Explorer\Run
Update service = "%User Temp%\winsvchost\svchost.exe"

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• simplehttpflood - HTTP flooding in simple mode
• httpflood - HTTP flooding
• oldhttpflood - HTTP/HTTPS flooding in the old mode
• intoldhttpflood - HTTP/HTTPS flooding in the old intellectual mode
• inthttpflood - HTTP flooding in intelligent mode (used to monitor user activity)
• highhttpflood - HTTP flooding in aggressive mode
• posthttpflood - HTTP flooding (POST)
• intposthttpflood - HTTP flooding in intelligent mode
• icmpflood - ICMP flooding
• inticmpflood - ICMP flooding in intelligent mode
• newtimeout - Change pause between requests
• stop - cancel previous command
• update - update itself

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• http://{BLOCKED}n.com/xx/getcmd.php?id=-{Malware ID}&traff=0

情報漏えい

マルウェアは、コンピュータ内に以下のFTPクライアントまたはファイルマネージャのアカウント情報が保存されている場合、これらのアカウント情報を収集します。

• FlashFXP
• FileZilla
• SmartFTP
• GHISLER
• ALFTP

マルウェアは、上述のFTPクライアントおよびファイルマネージャのいずれかから、以下のアカウント情報を収集します。

• User ID
• Host Name
• Password
• Port Number