BKDR_ISMDOOR.C

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。 マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %Application Data%\Microsoft\Windows\Tmp98871
• %Application Data%\Microsoft\Windows\Tmp98872
• %Application Data%\Microsoft\Windows\Tmpedi98871
• %Application Data%\Microsoft\Windows\Tmpedo98871
• %System%\ddd\a1.txt

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.. %System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• General
• DownloadFile
• UploadFile
• ChangeAliveSeconds

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• http://{BLOCKED}e.{BLOCKED}updater.com//Home/{url path}
  Where {url path} may be any of the following:
  
  • CheckConnection
  • SetCommandValue
  • Alive
  • SaveFile?commandId={command}&CmdResult={result}
  • GetFile?commandId={command}
  • SaveFile?commandId={command}