BKDR_IRCBOT.CSS

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、IRCチャンネルに参加します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• ev1l1lod1ld0s

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
Windongs = "{malware path}\{malware file name}.exe"

バックドア活動

マルウェアは、以下のいずれかのIRCサーバに接続します。

• {BLOCKED}n.{BLOCKED}s.cat

マルウェアは、以下のいずれかのIRCチャンネルに参加します。

• {BLOCKED}5

マルウェアは、リモートでInternet Relay Chat （IRC）サーバにアクセスし、不正リモートユーザから以下のコマンドを受信します。

• [Quit] - Terminate itself
• [Help] - Print Commands
• [Version] - Print Version
• [Exec] - Executes shell command
• [DLE] - Downloads and execute arbitrary file
• [UDP] - Starts UDP Flooding
• [OpenURL] - Opens a URL using a hidden browser
• [SYN] - Sends a SYN Flood
• [Stop] - Stops a spcific command
• [Get] - Sends GET floods
• [Post] Sends POST floods
• [Speedtest] - check connection speed (rolotech-electronics.comuf.com, speedtest1.hivelocity.net, 68.11.12.242)

その他

マルウェアは、自身のIRCサーバにアクセスする際に以下の認証情報を利用します。

• USERNAME: ImGay
• NICK: zwin-{random}