BKDR_GENOME.CI

マルウェアは、特定のWebサイトにアクセスし、不正リモートユーザへ自身のインストールの通知や、IPアドレスやユーザ名、オペレーティングシステム（OS）に関する情報の送信を行います。

マルウェアは、他のマルウェアに作成され、コンピュータに侵入します。

マルウェアは、ワーム活動の機能を備えていません。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。 マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。

マルウェアは、作成されたファイルを実行します。

マルウェアは、ダウンロードする機能を備えていません。

侵入方法

マルウェアは、以下のマルウェアに作成され、コンピュータに侵入します。

• TROJ_SHELLCOD.CI
• TROJ_MDROPPR.XL

インストール

マルウェアは、以下のファイルを作成します。

• %System%\com32.dll - also detected as BKDR_GENOME.CI

(註：%System%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\System"、Windows NT および 2000 の場合、"C:\WinNT\System32"、Windows XP および Server 2003 の場合、"C:\Windows\System32" です。)

自動実行方法

マルウェアは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\COMSysHlp
ImagePath = "%SystemRoot%\system32\svchost.exe -k COMSysHlp"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\COMSysHlp\Parameters
ServiceDll = "%SystemRoot%\system32\com32.dll"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\SvcHost
COMSysHlp = "COMSysHlp"

感染活動

マルウェアは、ワーム活動の機能を備えていません。

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Create/delete file
• Execute command shell
• Execute process
• Get drive information
• List files
• Restart system
• Send IP address, user name, and OS information
• Shut down system

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• modify.{BLOCKED}a.net

作成活動

マルウェアは、作成されたファイルを実行します。

ダウンロード活動

マルウェアは、ダウンロードする機能を備えていません。

その他

マルウェアは、ポート6542番を利用し、「modify.＜省略＞a.net」にアクセスします。そして、不正リモートユーザへ自身のインストールの通知や、OSに関する情報（OSの種類、製品タイプ、ビルドの番号）の送信を行います。

マルウェアは、ルートキット機能を備えていません。

マルウェアは、脆弱性を利用した感染活動を行いません。

マルウェアが作成する以下のファイルは、このマルウェアとして検出されます。

• %System%\com32.dll

マルウェアが実行するコマンドは以下のとおりです。

• ファイルの作成／削除
• コマンドシェルの実行
• ドライブに関する情報の収集
• ファイルのリスト化
• コンピュータの再起動
• IPアドレスやユーザ名、OSに関する情報の送信
• コンピュータのシャットダウン