BKDR_HIJACKER.AY

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、ワーム活動の機能を備えていません。

マルウェアは、コマンドラインプログラムで、特定の活動を実行するために利用されます。 マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

マルウェアは、感染コンピュータから特定の情報を収集します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスにコードを組み込みます。

• lsass.exe

感染活動

マルウェアは、ワーム活動の機能を備えていません。

バックドア活動

マルウェアは、コマンドラインプログラムで、特定の活動を実行するために利用されます。

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Download Arbitrary File
• Upload Arbitrary File
• Attempt to login on the SQL Server
• Listen to a port for receiving commands
• Collect System Password Hashes
• Execute Arbitrary File
• Delete Arbitrary File
• Route Network traffic

作成活動

マルウェアは、以下のファイルを作成します。

• {malware path}\gw.dat -contains host address in Internet standard dot notation and visible server list in the current domain
• {malware path}\sql.dat -contains host address in Internet standard dot notation and SQL brute login result

情報漏えい

マルウェアは、感染コンピュータから以下の情報を収集します。

• Server found in the current domain
• Host name
• Local Group Administrators
• Global Group Domain Computers

その他

マルウェアが実行するコマンドは、以下のとおりです。

• 任意のファイルのダウンロード
• 任意のファイルのアップロード
• SQLサーバへログイン
• コマンドを受信するためにポートの傍受
• コンピュータのパスワードハッシュを収集
• 任意のファイルの実行
• 任意のファイルの削除
• ネットワークトラフィックのルーティング

マルウェアが作成する以下のファイルは、インターネット標準ドット表記内のホストアドレスおよび現在のドメイン内の可視サーバのリストを含んでいます。

• {malware path}\gw.dat

マルウェアが作成する以下のファイルは、インターネット標準ドット表記内のホストアドレスおよびSQLサーバへのブルートフォース攻撃によるログインの結果を含んでいます。

• {malware path}\sql.dat

マルウェアが収集する情報は、以下のとおりです。

• 現在のドメインで確認されるサーバ
• ホスト名
• ローカルグループ管理者
• グローバルグループドメインのコンピュータ

マルウェアは、SQLサーバへのログインを試みるため、ハードコードされた辞書攻撃を用います。（これらのパスワードのユーザIDは"sa"です。）

• NULL
• SA
• sa
• 123456
• abcd1234
• sql
• manager
• core
• root
• 1q2w3e
• qwe123
• sa123
• oracle
• sqlserver
• p@ssw0rd
• 1q2w3e4r
• qwer1234
• 1234
• pass
• windows
• system
• admin
• super
• test
• 12345678
• qwerty
• qwertyuiop
• 1qaz2wsx
• pass1234
• 123456789

マルウェアは、SQLサーバへのログインを試みる辞書攻撃にも用いられる以下のファイルを読み込みます。

• {malware path}\sqlpass.dic

マルウェアが取得する可能性のあるコマンドラインのパラメータは、以下のとおりです。

• リモート接続のアドレス
• 接続に用いられるポート
• プロキシ情報（アドレス、ポート）
• マルウェアとリモートコンピュータが認証情報を交換するためのキー

マルウェアは、ルートキット機能を備えていません。

マルウェアは、脆弱性を利用した感染活動を行いません。