BKDR_KORPLG.ILP

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。 マルウェアは、リモートサイトから他のマルウェアまたはグレイウェアにダウンロードされ、コンピュータに侵入します。

マルウェアは、ワーム活動の機能を備えていません。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、リモートサイトから以下のマルウェアまたはグレイウェアにダウンロードされ、コンピュータに侵入します。

• JS_NISEILY.AB

マルウェアは、以下のリモートサイトからダウンロードされコンピュータに侵入します。

• http://downfile2.{BLOCKED}arecenter.com/virtual/news/mm.exe

インストール

マルウェアは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

• %All Users Profile%\taskeng.exe

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• QF-2-0-33

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
taskeng = "%All Users Profile%\taskeng.exe"

他のシステム変更

マルウェアは、インストールの過程で、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
LOG
CLSID = "{hex values}"

マルウェアは、インストールの過程で、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
LOG

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
LOGPROXY

感染活動

マルウェアは、ワーム活動の機能を備えていません。

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• download arbitrary files
• perform remote shell commands
• get system information
• create directories

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• http://kitamura.{BLOCKED}arecenter.com/{8 random hex values}FFFFFFFF.aspx

情報漏えい

マルウェアは、以下の情報を収集します。

• computer name
• user name
• drive information
• os version

その他

マルウェアが実行するコマンドは、以下のとおりです。

• 任意のファイルのダウンロード
• リモートシェルコマンドの実行
• システム情報の取得
• ディレクトリの作成

マルウェアが収集する情報は、以下のとおりです。

• コンピュータ名
• ユーザ名
• ドライブ情報
• オペレーティングシステム（OS）の種類

マルウェアは、コマンドプロンプト"net stop SharedAccess"ラインを実行することによりFirewallを無効にします。

マルウェアは、現在の年が2013年かそれ以降である場合にのみ、不正活動を実行します。

マルウェアは、ルートキット機能を備えていません。

マルウェアは、脆弱性を利用した感染活動を行いません。