BKDR_NECURS.BGSH

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

マルウェアは、Windows ファイアウォールを無効にする、オペレーティングシステム（OS）によって決定するコマンドを実行します。マルウェアは、管理者モードではない場合、マルウェアは、特定の権限を昇格します。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、実行後、自身を削除します。 マルウェアは、すべての実行中プロセスに組み込まれ、システムのプロセスに常駐します。

マルウェアは、レジストリ値を変更し、Windowsのファイアウォールを無効にします。これにより、マルウェアは、自身を検出されることなく不正活動を実行することが可能になります。

マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。 ただし、情報公開日現在、このWebサイトにはアクセスできません。

マルウェアは、イベントを作成します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %System%\drivers\{random}.sys

(註：%System%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では "C:\Windows\System32" です。)

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Application Data%\{random GUID}\syshost.exe - if not logged in as an Administrator
• %Windows%\Installer\{GUID}\syshost.exe - if logged in as an Administrator

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。. %Windows%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、"C:\Windows" です。)

マルウェアは、以下のフォルダを作成します。

• %Windows%\Installer\{random GUID} - if logged in as an Administrator
• %Application Data%\{random GUID} - if not logged in as an Administrator

(註：%Windows%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、"C:\Windows" です。. %Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

マルウェアは、実行後、自身を削除します。

マルウェアは、すべての実行中プロセスに組み込まれ、システムのプロセスに常駐します。

自動実行方法

マルウェアは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\syshost32
ImagePath = ""%Windows%\Installer\{GUID}\syshost.exe" /service"

マルウェアは、作成されたコンポーネントがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
syshost32 = %Windows%\Installer\{GUID}\syshost.exe

マルウェアは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\syshost32

マルウェアは、作成されたコンポーネントをシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{random}

他のシステム変更

マルウェアは、以下のレジストリ値を変更し、Windowsのファイアウォールを無効にします。

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\SharedAcces\Parameters\
FirewallPolicy\DomainProfile
EnableFirewall = "0"

(註：変更前の上記レジストリ値は、「"1"」となります。)

バックドア活動

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• http://{BLOCKED}.{BLOCKED}.81.244
• http://{BLOCKED}.{BLOCKED}.195.245
• http://{BLOCKED}.{BLOCKED}.56.54
• http://{BLOCKED}.{BLOCKED}.31.41

ただし、情報公開日現在、このWebサイトにはアクセスできません。

その他

マルウェアは、以下のWebサイトにアクセスしてインターネット接続を確認します。

• facebook.com
• microsoft.com

マルウェアは、以下のイベントを作成します。

• Global\NitrGB
• Local\NitrGB

管理者としてログインしない場合は、マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Application Data%\{random GUID}\syshost.exe

管理者としてログインした場合は、マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Windows%\Installer\{GUID}\syshost.exe

マルウェアは、Windows ファイアウォールを無効にする、以下のオペレーティングシステム（OS）によって決定するコマンドを実行します。

• netsh.exe

管理者モードではない場合、マルウェアは、特定の権限を昇格します。

マルウェアは、以下のタイムサーバにアクセスし、時刻を合わせます。

• 0.pool.ntp.org
• 1.pool.ntp.org
• 2.pool.ntp.org