BKDR_HACKDOOR.BB

マルウェアは、他のマルウェアまたはグレイウェアに利用されるファイルとして、コンピュータに侵入します。 マルウェアは、他のマルウェアまたはグレイウェアのパッケージとともにコンポーネントとして、コンピュータに侵入します。

マルウェアは、ワーム活動の機能を備えていません。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

マルウェアが自身の不正活動を実行するためには、メインとなるコンポーネントが必要になります。

侵入方法

マルウェアは、他のマルウェアまたはグレイウェアに利用されるファイルとして、コンピュータに侵入します。

マルウェアは、他のマルウェアまたはグレイウェアのパッケージとともにコンポーネントとして、コンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %System%\drivers\dump_En.sys - deleted afterwards
• %System%\drivers\dump_.sys - deleted afterwards

(註：%System%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では "C:\Windows\System32" です。)

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• Global\SystemTime0
• Global\SystemTime2

自動実行方法

マルウェアは、以下のサービスを開始します。

• IPFILTERDRIVER
• dump_

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Enum\Root\LEGACY_IPFILTERDRIVER

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Enum\Root\LEGACY_IPFILTERDRIVER\
0000

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Enum\Root\LEGACY_IPFILTERDRIVER\
0000\Control

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\IpFilterDriver\Enum

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\IpFilterDriver

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\dump_

マルウェアは、インストールの過程で、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Enum\Root\LEGACY_IPFILTERDRIVER
NextInstance = "1"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Enum\Root\LEGACY_IPFILTERDRIVER\
0000
Service = "IpFilterDriver"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Enum\Root\LEGACY_IPFILTERDRIVER\
0000
Legacy = "1"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Enum\Root\LEGACY_IPFILTERDRIVER\
0000
ConfigFlags = "0"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Enum\Root\LEGACY_IPFILTERDRIVER\
0000
Class = "LegacyDriver"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Enum\Root\LEGACY_IPFILTERDRIVER\
0000
ClassGUID = {GUID}

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Enum\Root\LEGACY_IPFILTERDRIVER\
0000\Control
NewlyCreated* = "0"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Enum\Root\LEGACY_IPFILTERDRIVER\
0000\Control
ActiveService = "IpFilterDriver"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\dump_
Type = "1"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\dump_
Start = "0"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\dump_
ErrorControl = "1"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\dump_
DisplayName = "dump_"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\IpFilterDriver\Enum
0 = "Root\LEGACY_IPFILTERDRIVER\0000"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\IpFilterDriver\Enum
Count = "1"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\IpFilterDriver\Enum
NextInstance = "1"

感染活動

マルウェアは、ワーム活動の機能を備えていません。

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Manage Files (Search, Execute, Delete, Copy, Move)
• Manage Registries (Search, Delete, Create)
• Manage Processes (Open, Terminate)
• Manage Services (Query, Start)
• Manage Windows
• Manage Directories
• Shut Down Computer
• Download Files

ダウンロード活動

マルウェアは、特定のWebサイトから不正なファイルをダウンロードします。マルウェアがアクセスするWebサイトは、このマルウェアのコンポーネントから取得するパラメータにより決まります。

情報漏えい

マルウェアは、以下の情報を収集します。

• OS Version
• Host Name
• Computer Name
• IP Address

その他

マルウェアが自身の不正活動を実行するためには、メインとなるコンポーネントが必要になります。

マルウェアが作成し、後に削除されるファイルは以下のとおりです。

• %System%\drivers\dump_En.sys
• %System%\drivers\dump_.sys

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• ファイルの管理（検索、実行、削除、コピー、移動）
• レジストリの管理（検索、削除、作成）
• プロセスの管理（オープン、終了）
• サービスの管理（クエリ、開始）
• ウィンドウの管理
• ディレクトリの管理
• コンピュータのシャットダウン
• ファイルのダウンロード

マルウェアが収集する情報は以下のとおりです。

• オペレーティングシステム（OS）
• ホスト名
• コンピュータ名
• IPアドレス

マルウェアは、ルートキット機能を備えていません。

マルウェアは、脆弱性を利用した感染活動を行いません。