BKDR_NETBOT.BHHH

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。 マルウェアは、他のマルウェアに作成され、コンピュータに侵入します。

マルウェアは、ワーム活動の機能を備えていません。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。 マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。

マルウェアは、ダウンロードする機能を備えていません。

マルウェアは、感染コンピュータ上の特定の情報を収集します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、他のマルウェアに作成され、コンピュータに侵入します。

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Shell Folders
Startup = "%User Profile%\Start Menu\Programs\Startup"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
User Shell Folders\New
Startup = "%User Profile%\My Documents\Startup"

マルウェアは、＜Common Startup＞フォルダ内に以下のように自身のコピーを作成します。これにより、Windows起動時に自身のコピーの自動実行が可能となります。

• %User Profile%\My Documents\Startup\algsrv.exe

(註：%User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞" です。)

感染活動

マルウェアは、ワーム活動の機能を備えていません。

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Perform remote shell
• Monitor mouse and keyboard events
• Uninstall itself
• Inject itself to specific process
• Terminate process
• Capture screenshot
• Get drive information
• File Manipulation (Create, Modify, Rename, Copy, Delete)
• Execute file

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• {BLOCKED}.90.11:443

ダウンロード活動

マルウェアは、ダウンロードする機能を備えていません。

情報漏えい

マルウェアは、感染コンピュータ上の以下の情報を収集します。

• Computer Name
• OS Version
• RAM

その他

マルウェアが実行するコマンドは、以下のとおりです。

• リモートシェルの実行
• マウスおよびキーボードのイベントの監視
• 自身のアンインストール
• 特定のプロセスに自身の挿入
• プロセスの終了
• スクリーンショットの取得
• ドライブ情報の取得
• ファイルの操作（作成、改変、改称、コピー、削除）
• ファイルの実行

マルウェアが収集する情報は、以下のとおりです。

• コンピュータ名
• オペレーティングシステム（OS）の種類
• RAM

マルウェアは、以下のURLにpingを送信し、IPアドレスを取得します。マルウェアは、このアドレスにアクセスし、不正リモートユーザからの情報を送受信します。

• yd.{BLOCKED}bto.org:443

マルウェアは、ルートキット機能を備えていません。

マルウェアは、脆弱性を利用した感染活動を行いません。