BKDR_GRABOT.G

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %System%\divwinx.exe

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• grave23

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
Divx = "divwinx.exe"

バックドア活動

マルウェアは、以下のいずれかのIRCサーバに接続します。

• Irc.{BLOCKED}et.org
• pro.{BLOCKED}r.net

マルウェアは、リモートでInternet Relay Chat （IRC）サーバにアクセスし、不正リモートユーザから以下のコマンドを受信します。

• fr33d0m - terminates the remote malicious user's running process
• autotopic - puts bot on idle
• version - malware version
• exerun - runs specific exe files
• delete - deletes files
• girlnick - gets bot nickname
• protect - protects bot from kicking
• protectchan - protects channels on irc
• invitemsg - sends invite message to other users
• spammsg - spams other users
• sitespam - spams certain sites
• massjoin - command for having all bots join a specific channel
• invitedelay - delays inviting other users
• protectdelay - delays protecting certain users
• highprotection -- protects bot's nickname
• lowprotection -- undoes high protection
• spamweb - spams certain webs
• autologin - autologin on the bot's crc application
• stealth - same as protection
• debuginvite - sends logs
• invite - invites other users
• autoop - gives the bot of authorization of the channel
• unprotectall - undoes protection of all bots
• reprotectall - reprotects all bot's nicknames
• stopinvite - stops sending invites
• injoin - joins certain servers
• listprocesses - lists processes
• shootprocess - kills process
• PRIVMSG --- sends private messages to other users

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスして自身のコンポーネントファイルをダウンロードします。

• www.{BLOCKED}ies.com\zymola\mssi.tgz

マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %System%\mssi.tgz

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

その他

マルウェアは、自身のIRCサーバにアクセスする際に以下の認証情報を利用します。

• NICK {Random Name From The List}
• User {Random Name From The List}