BKDR_IRCBOT.GIW

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のコンポーネントファイルを作成します。

• %User Temp%\9879898798798jlk.ini
• %User Temp%\damipugifoc.wul
• %User Temp%\gagiyapesay.dll
• %User Temp%\jajihakevan.dll
• %User Temp%\muqizeroqako.dll
• %User Temp%\ns{random string}.tmp\System.dll
• %User Temp%\Temuxucemoj.exe
• %User Temp%\Xupijanokof.dll

(註：%User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Application Data%\{23F24C31-568D-461D-B5CA-13393D19909A}\hdg.exe

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

マルウェアは、以下のフォルダを作成します。

• %Application Data%\{23F24C31-568D-461D-B5CA-13393D19909A}

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• evil1loldild0s

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
Windongs = "%Application Data%\{23F24C31-568D-461D-B5CA-13393D19909A}\hdg.exe"

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
{23F24C31-568D-461D-B5CA-13393D19909A} = "%Application Data%\{23F24C31-568D-461D-B5CA-13393D19909A}\hdg.exe"

バックドア活動

マルウェアは、以下のいずれかのIRCサーバに接続します。

• epic.{BLOCKED}s.xxx
• irc1.{BLOCKED}-wow.com

マルウェアは、以下のいずれかのIRCチャンネルに接続します。

• #test5

マルウェアは、リモートでInternet Relay Chat （IRC）サーバにアクセスし、不正リモートユーザから以下のコマンドを受信します。

• (DOWNLOAD) - Downloads and execute arbitrary file
• (EXEC) - Executes command
• (GET) - Sends GET floods
• (HELP) - Print Commands
• (OPENURL) - Opens a URL using a hidden browser
• (POST) - Sends POST floods
• (QUIT) - Terminate itself
• (SHELL EXEC) - Executes shell command
• (SPEEDTEST) - check connection speed (rolotech-electronics.comuf.com, speedtest1.hivelocity.net, 68.11.12.242)
• (STOP EXEC) - Stops a thread
• (STOP GET) - Stops GET floods
• (STOP SPEEDTEST) - Stops speedtest
• (STOP SYN) - Stops a SYN Flood
• (STOP UDP) - Stops UDP Flooding
• (SYN) - Sends a SYN Flood
• (UDP) - Starts UDP Flooding
• (VERSION) - Print Version

その他

マルウェアは、自身のIRCサーバにアクセスする際に以下の認証情報を利用します。

• USERNAME: zwin-{random}
• PASSWORD: Op Dildos / dildos