BKDR_KUPS.M

マルウェアは、他のマルウェアに作成され、コンピュータに侵入します。

侵入方法

マルウェアは、以下のマルウェアに作成され、コンピュータに侵入します。

• TROJ_TARODROP.M

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %System%\WudfSvc.exe

(註：%System%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\System"、Windows NT および 2000 の場合、"C:\WinNT\System32"、Windows XP および Server 2003 の場合、"C:\Windows\System32" です。)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\policies\
Explorer\Run
WudfSvc = %System%\WudfSvc.exe

作成活動

マルウェアは、以下のファイルを作成します。

• %System%\fixmapi.dll - also detected as BKDR_KUPS.M
• %System%\MSIMM.dll - also detected as BKDR_KUPS.M

(註：%System%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\System"、Windows NT および 2000 の場合、"C:\WinNT\System32"、Windows XP および Server 2003 の場合、"C:\Windows\System32" です。)

その他

マルウェアは、以下のWebサイトにアクセスしてインターネット接続を確認します。

• download.windowsupdate.com

マルウェアは、DLLコンポーネント "MSIMM.DLL" のコードをDLLコンポーネント "fixmapi.DLL" を読み込む正規のアプリケーション "svchost.exe" に組み込み、システムのプロセス常駐します。

マルウェアは、接続先が存在する場合、ポート80番を用いて以下のアドレスに接続します。

• {BLOCKED}.25.159

マルウェアは、ホスト名、IPアドレスおよび、実行中マルウェアのプロセスIDを収集し、上記のWebサイトに以下のリクエストを送信します。その後、マルウェアは、返信を待機します。

• POST http://0:/index.html?SearchXS={hostname}*{IP address}*{Process ID}

ただし、2010年12月26日現在、上記サーバは、マルウェアのリクエストに応答しません。

マルウェアは、ファイルのダウンロードおよびアップロードをします。

マルウェアは、ディレクトリを検索します。

マルウェアは、コンピュータ名、IPアドレスおよびOSのバージョンといった情報を送信します。

マルウェアは、感染コンピュータの内容を表示します。

マルウェアは、レジストリ値を検索および変更します。

マルウェアは、シェルコマンドをダウンロードします。