BKDR_HANMON.A

マルウェアは、他のマルウェアに作成され、コンピュータに侵入します。

マルウェアは、特定のプロセスに作成したファイルを組み込みます。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

侵入方法

マルウェアは、以下のマルウェアに作成され、コンピュータに侵入します。

• TROJ_MDROP.ID

インストール

マルウェアは、異なるファイル名を用いて以下のフォルダ内に自身のコピーを作成します。

• %User Temp%\{temporary filename}.tmp

(註：%User Temp%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\Temp"、Windows NT の場合、"C:\Profiles\＜ユーザー名＞\TEMP"、Windows 2000、XP、Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\TEMP" です。)

マルウェアは、以下のコンポーネントファイルを作成します。

• %System%\tstdmc.dll - also detected as BKDR_HANMON.A
• %System%\dmcpyt.dl - also detected as BKDR_HANMON.A

(註：%System%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\System"、Windows NT および 2000 の場合、"C:\WinNT\System32"、Windows XP および Server 2003 の場合、"C:\Windows\System32" です。)

マルウェアは、以下のプロセスに作成したファイルを組み込みます。

• lsass.exe
• Explorer.exe
• iexplore.exe

自動実行方法

マルウェアは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKLM\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Svchost
dmon = "DiskMon32"

HKLM\SYSTEM\CurrentControlSet\
Services\DiskMon32
ServiceDLL = "C:\WINDOWS\system32\dmcpyt.dll"

HKLM\SYSTEM\CurrentControlSet\
Services\DiskMon32
Interactive = "dword:00000000"

マルウェアは、以下のサービスを追加し、実行します。

• "Disk Monitor Services"

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Send and receive other files.
• Modify registries.
• Execute other files.
• Remote execution of arbitrary code received from the server.

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• {BLOCKED}.{BLOCKED}.4.173

マルウェアは、コマンド＆コントロール（C&C）サーバに以下の情報を通知します。

• System LCID
• Computer Name
• Username
• Operating System Version
• System Info
• Current Global Memory Status
• Root Path Volume Information
• List of disk drives.
• Local IP Address.