BKDR_MALPLU.APS

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、ワーム活動の機能を備えていません。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %User Temp%\slc{random}.tmp - it creates this file/s for storing read html page(also will be deleted after) and also gathered information(it doesn't mean store in same file, differs in every purpose)

(註：%User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

感染活動

マルウェアは、ワーム活動の機能を備えていません。

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Capture Screenshot
• Terminate Process
• Get Drives information(Free Space,Volume Information)
• Get Operating System Information
• Get user name and computer name
• Delete arbritrary file
• Download Arbritrary File
• Execute file
• Send Gathered Information
• Modify the registry

その他

マルウェアが作成する以下のファイルは、読み込まれるhtmlページ（後に削除される）および収集される情報を保存するために作成されます。なお、これらは常に同じファイルに保存されるということではなく、目的毎にファイルは異なります。

• %User Temp%\slc{random}.tmp

マルウェアが実行するコマンドは、以下のとおりです。

• スクリーンショットの取得
• プロセスの終了
• ドライブ情報（空き容量、ボリューム情報）の取得
• オペレーティングシステム（OS）情報の取得
• ユーザ名およびコンピュータ名の取得
• 任意のファイルの削除
• 任意のファイルのダウンロード
• ファイルの実行
• 収集された情報の送信
• レジストリの改変

以下のファイルが存在する場合、マルウェアは、ファイルを削除し、自身を終了します。

• {malware path name}\EndChk.txt

マルウェアは、以下のWebサイトを訪問します。

• http://{BLOCKED}3322.{BLOCKED}g-nifty.com/blog/2013/10/love-story.html

マルウェアは、この訪問したWebサイト上で以下の文字列を確認します。

• 'principal varieties are used:'

また、マルウェアは、上述の訪問したWebサイト上の内容を読み込み、以下の作成されるURL上で利用します。

• http://{ip-address:port}/usr/{string}

"{ip-address:port}"は、暗号化されたhtmlのコードによって決定します。作成されたURLは、マルウェアがコマンドを送受信するC&Cサーバとして利用されます。

情報公開日現在、この生成されるURLは、以下となります。

• http://{BLOCKED}.{BLOCKED}.34.202:51846/usr/{string}

マルウェアは、ルートキット機能を備えていません。

マルウェアは、脆弱性を利用した感染活動を行いません。