BKDR_GRABBOT.A

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、以下のリモートサイトからダウンロードされコンピュータに侵入します。

• http://track.{BLOCKED}ps.net/WebTracking/JavaJREInstaller.exe
• http://{BLOCKED}s.{BLOCKED}fice-hosts.org/updates.exe
• http://{BLOCKED}pp.{BLOCKED}ce-hosts.org/updates.exe
• http://dns.{BLOCKED}e-hosts.org/updates.exe?_sm_byp=i{BLOCKED}NtF4nJH04Rn8s
• http://info.{BLOCKED}ice-ups.org/WebTracking/tracking-N{BLOCKED}OI790NMCBJOI611.php?h=amZpbm5AenZlbG8uY29tDQo%3D

インストール

マルウェアは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

• %Application Data%\{GUID}\{random filename}.exe

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

マルウェアは、以下のコンポーネントファイルを作成します。

• %Application Data%\{GUID}\{random filename}.dat

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

マルウェアは、以下のプロセスを追加します。

• svchost.exe

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• starayamoskva

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{GUID} = "%Application Data%\{GUID}\{random filename}.exe"

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• user_execute - execute arbitrary file
• bot_update - download and execute updated copy
• conf_update - download configuration file
• bot_uninstall - uninstall itself
• send_debug - send log
• socks_bc - SOCKS proxy server
• run_vnc - run VNC
• url_block_add - add URLs that will be denied for access
• url_block_rem - remove URLs that will be denied for access
• grab_ftp - steal FTP credentials
• grab_cookies - steal cookies
• del_cookies - delete cookies
• grab_sol - steal Flash cookies
• grab_certs - steal client certificates
• grab_all - steal FTP credentials, cookies, and certificates

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• http://app.{BLOCKED}eupdates.com/feedweb/wp-feed.php
• http://app.{BLOCKED}edns.com/feedweb/wp-feed.php
• http://app.{BLOCKED}wsdns.com/feedweb/wp-feed.php
• http://app.{BLOCKED}newupdates.com/feedweb/wp-feed.php

その他

マルウェアは、以下のWebサイトにアクセスしてインターネット接続を確認します。

• http://google.com/webhp