BKDR_MATSNU.EJ

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

• %User Temp%\{random file name 2}.pre - deleted afterwards
• %User Temp%\{random folder name}\{random 1}tvyz.exe

(註：%User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• LDRBCCE01

マルウェアは、以下のプロセスにコードを組み込みます。

• svchost.exe
• ctfmon.exe
• explorer.exe

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{random 2}tvyz.exe = "%User Temp%\{random folder name}\{random 1}tvyz.exe"

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Download and execute/load arbitrary .exe and .dll files
• Update itself
• Update C&C servers
• Delete ntldr and ntdetect.com, then wipe MBR
• Lock/unlock computer

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• http://{BLOCKED}xrz.com/typo3.php
• http://{BLOCKED}ect-proxy.com/typo3.php
• http://{BLOCKED}nes.com/t.php
• http://{BLOCKED}line.com/t.php
• http://{BLOCKED}olderxx.com/forums.php
• http://{BLOCKED}bspace-apo.com/forums.php
• http://{BLOCKED}eg.com/forums.php
• http://{BLOCKED}k-gt.com/t po3.php
• http://{BLOCKED}xrz.com/typo3.php
• http://{BLOCKED}ect-proxy.com/typo3.php
• http://{BLOCKED}nes.com/t.php
• http://{BLOCKED}line.com/t.php
• http://{BLOCKED}olderxx.com/forums.php
• http://{BLOCKED}bspace-apo.com/forums.php

マルウェアは、コマンド＆コントロール（C&C）サーバに以下の情報を通知します。

• Disk serial number
• Attack status
• Location
• OS version

その他

マルウェアは、以下のメッセージボックスを表示します。