BKDR_GHOSTRAT
Farfli, Palevo, Redosdru, KeyLogger, Swisyn
Windows 2000, Windows XP, Windows Server 2003
![](/vinfo/imgFiles/JPlegend.jpg)
マルウェアタイプ:
バックドア型
破壊活動の有無:
なし
暗号化:
感染報告の有無 :
はい
詳細
インストール
マルウェアは、以下のファイルを作成します。
- %System%\ctfmon1.exe
- %System%\360SP2.dll
(註:%System%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では "C:\Windows\System32" です。)
マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。
- %System Root%\Documents and Settings\All Users\Start Menu\Programs\Startup\Ball.exe
- %Windows%\Ball.exe
- %Windows%\Temp\zk.exe
- %Windows%\XXXXXXD0F7D4A7\svchsot.exe
- %Windows%\Ball.exe
(註:%System Root%フォルダは、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。. %Windows%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、"C:\Windows" です。)
マルウェアは、以下のフォルダを作成します。
- %Windows%\XXXXXXD0F7D4A7
(註:%Windows%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、"C:\Windows" です。)
自動実行方法
マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。
HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Ball = "%Windows%\Ball.exe"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
XXXXXXD0F7D4A7 = "%Windows%\XXXXXXD0F7D4A7\svchsot.exe"
他のシステム変更
マルウェアは、インストールの過程で、以下のレジストリ値を追加します。
HKEY_LOCAL_MACHINE\SYSTEM\InfoTime
InfoTime = "{malware executed - yyyymmmdd}"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Ball
Group = "{characters}"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Enum\Root\LEGACY_MICROSOFT_MADMIN
NextInstance = "1"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Enum\Root\LEGACY_MICROSOFT_MADMIN\
0000
Service = "Microsoft Madmin"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Microsoft Madmin
ImagePath = "%System%\svchost.exe -k netsvcs"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Microsoft Madmin
DisplayName = "Microsoft Device Manager"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Microsoft Madmin\Parameters
ServiceDll = "%System%\360SP2.dll"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Microsoft Madmin\Security
Security = "{hex values}"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Microsoft Madmin\Enum
0 = "Root\LEGACY_MICROSOFT_MADMIN\0000"
マルウェアは、インストールの過程で、以下のレジストリキーを追加します。
HKEY_LOCAL_MACHINE\SYSTEM\InfoTime
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Ball
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Enum\Root\LEGACY_MICROSOFT_MADMIN
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Enum\Root\LEGACY_MICROSOFT_MADMIN\
0000
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Microsoft Madmin
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Microsoft Madmin\Parameters
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Microsoft Madmin\Security
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Microsoft Madmin\Security
その他
マルウェアは、以下の不正なWebサイトにアクセスします。
- wxhdxx.{BLOCKED}2.org
- jinfo106.{BLOCKED}1.org
- jinfo106.{BLOCKED}ood.com
- jinfo106.{BLOCKED}k.com
- baobao52100.{BLOCKED}2.org
- {BLOCKED}.{BLOCKED}.161.101:100