BKDR_ISMDOOR.B

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。 マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。

マルウェアは、感染コンピュータや感染ユーザから特定の情報を収集します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %Application Data%\Microsoft\Windows\Tmp98871
• %Application Data%\Microsoft\Windows\TmpFiles\{random}.txt
• %System%\ddd\wer2.txt
• %Application Data%\Microsoft\Windows\Tmp9932u1.bat
• %Application Data%\Microsoft\Windows\tmp43hh11.txt
• %Application Data%\Microsoft\Windows\Tmpedi98871
• %Application Data%\Microsoft\Windows\Tmpedo98871

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.. %System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• General
• DownloadFile
• UploadFile
• Done
• ChangeAliveSeconds
• ChangeAddress
• GetSendAliveSeconds
• restart
• remove

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• http://{BLOCKED}e.{BLOCKED}updater.com//Home/{url path}
  Where {url path} may be any of the following:
  
  • CC
  • SCV
  • BM
  • AV
  • CR
  • SF?commandId={command}&CmdResult={result}
  • GF?commandId={command}
  • SF?commandId={command}

情報漏えい

マルウェアは、以下の情報を収集します。

• User Domain
• User Name
• IP Config
• Net View
• Domain of Net User Administrator
• Network Statistics
• System Info
• Task List
• Service List
• Security Information
• Anti Virus Products installed
• Firewall Products installed
• Anti Spyware Products installed