BKDR_MORIX.DV

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、Windowsのタスクスケジューラを用いて、「スケジュールされたタスク」を作成します。これにより、作成されたコピーが実行されます。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

マルウェア マルウェアは、自身（コンピュータに侵入して最初に自身のコピーを作成した マルウェア ）を削除します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Windows%\6E0A1896\svchsot.exe

(註：%Windows%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、"C:\Windows" です。)

マルウェアは、Windowsのタスクスケジューラを用いて、「スケジュールされたタスク」を作成します。これにより、作成されたコピーが実行されます。

マルウェアは、以下のフォルダを作成します。

• %Windows%\6E0A1896

(註：%Windows%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、"C:\Windows" です。)

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• {BLOCKED}r.{BLOCKED}e.org:{BLOCKED}s.{BLOCKED}zo.wo.tc:8899{BLOCKED}.{BLOCKED}.152.250:8899

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Run
6E0A1896 = "%Windows%\6E0A1896\svchsot.exe"

この「スケジュールされたタスク」により、以下の時間ごとにマルウェアが実行されます。

• 1 hour

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\System\InfoTime

マルウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\System\InfoTime
InfoTime = "{{Year}{Month}{Day}}"

HKEY_LOCAL_MACHINE\System\CurrentControlSet\
Services\Schedule
AtTaskMaxHours = "48"

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Download Files
• Perform shell command
• Manage Processes
• Manage Windows
• Manage Scheduled Task
• Manage Files

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• {BLOCKED}r.{BLOCKED}e.org:8899
• {BLOCKED}s.{BLOCKED}o.wo.tc:8899
• {BLOCKED}.{BLOCKED}.152.250:8899

作成活動

マルウェアは、以下のファイルを作成します。

• Windows%\Tasks\At1.job
• Windows%\Tasks\At2.job
• Windows%\Tasks\At3.job
• Windows%\Tasks\At4.job
• Windows%\Tasks\At5.job
• Windows%\Tasks\At6.job
• Windows%\Tasks\At7.job
• Windows%\Tasks\At8.job
• Windows%\Tasks\At9.job
• Windows%\Tasks\At10.job
• Windows%\Tasks\At11.job
• Windows%\Tasks\At12.job
• Windows%\Tasks\At13.job
• Windows%\Tasks\At14.job
• Windows%\Tasks\At15.job
• Windows%\Tasks\At16.job
• Windows%\Tasks\At17.job
• Windows%\Tasks\At18.job
• Windows%\Tasks\At19.job
• Windows%\Tasks\At20.job
• Windows%\Tasks\At21.job
• Windows%\Tasks\At22.job
• Windows%\Tasks\At23.job
• Windows%\Tasks\At24.job

情報漏えい

マルウェアは、以下の情報を収集します。

• OS Version
• Host Name
• Socket Information
• System Information (Architecture and type of the processor)
• Driver Description
• Hard Drive Information (Volume Information, Free Space, File Information)

その他

マルウェア は、自身（コンピュータに侵入して最初に自身のコピーを作成した マルウェア ）を削除します。