BKDR_HEARTB.A

マルウェアは、他のマルウェアに作成され、コンピュータに侵入します。

マルウェアは、Internet Explorer（IE）のウィンドウを非表示で開きます。 マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

マルウェア マルウェアは、自身（コンピュータに侵入して最初に自身のコピーを作成した マルウェア ）を削除します。

侵入方法

マルウェアは、以下のマルウェアに作成され、コンピュータに侵入します。

• TROJ_ARTIEF.ABF
• TROJ_ARTIEF.NADA

インストール

マルウェアは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

• %User Temp%\netsh.exe

(註：%User Temp%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\Temp"、Windows NT の場合、"C:\Profiles\＜ユーザー名＞\TEMP"、Windows 2000、XP、Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\TEMP" です。)

マルウェアは、以下のコンポーネントファイルを作成します。

• %User Temp%\netsh.ini
• %User Temp%\netsh.dll - also detected as BKDR_HEARTB.A

(註：%User Temp%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\Temp"、Windows NT の場合、"C:\Profiles\＜ユーザー名＞\TEMP"、Windows 2000、XP、Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\TEMP" です。)

マルウェアのDLLコンポーネントは、以下のプロセスに組み込まれます。

• iexplore.exe

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• netsh Is Running!
• NetSharkV6 Is Running!

自動実行方法

マルウェアは、＜User Startup＞フォルダ内に、自身のコピーに誘導する以下のショートカットを作成します。これにより、Windows起動時に自身のコピーが自動実行されます。

• %User Startup%\netsh.lnk

(註： %User Startup%フォルダは、通常、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup" 、Windows NTの場合、"C:\WINNT\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup"、Windows 2000、XP、Server 2003の場合、"C:\Documents and Settings\＜ユーザ名＞\Start Menu\Programs\Startup " です。)

バックドア活動

マルウェアは、IEのウィンドウを非表示で開きます。

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Copy, move, rename, delete files and folders
• Create files
• Enumerate files and folders
• Enumerate processes
• Enumerate services
• Execute files
• Get drive information
• Get file information
• Get process information
• Get service information
• Logoff system
• Modify files
• Modify service configuration
• Open files
• Perform remote shell
• Reboot system
• Shutdown system
• Start services
• Terminate processes
• Uninstall self from system
• Update self

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• http://{BLOCKED}.{BLOCKED}.77.96

マルウェアは、コマンド＆コントロール（C&C）サーバに以下の情報を通知します。

• OS version information

その他

マルウェア は、自身（コンピュータに侵入して最初に自身のコピーを作成した マルウェア ）を削除します。