BKDR_NETWIREDRC.NZU

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。 ただし、情報公開日現在、このWebサイトにはアクセスできません。

マルウェア マルウェアは、自身（コンピュータに侵入して最初に自身のコピーを作成した マルウェア ）を削除します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Application Data%\Adobe_ssl.exe

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

マルウェアは、以下のファイルを作成します。

• {Malware Path}\.Identifier

マルウェアは、以下のプロセスを追加します。

• notepad.exe

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• xqiYWgXG

マルウェアは、以下のプロセスにコードを組み込みます。

• created notepad.exe process

自動実行方法

マルウェアは、＜User Startup＞フォルダ内に、自身のコピーに誘導する以下のショートカットを作成します。これにより、Windows起動時に自身のコピーが自動実行されます。

• %User Startup%\Adobe_ssl.lnk

(註：%User Startup%フォルダは、現在ログオンしているユーザのスタートアップフォルダです。Windows 98およびMEの場合、通常 "C:\Windows\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows NTの場合、通常 "C:\WINNT\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows XPの場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup" です。)

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Download & execute files on the affected system
• Execute Command Shell
• Terminate Processes
• Manage files and folders
• Perform keylogging routine
• Retrieve stored passwords from browsers / email clients

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• {BLOCKED}.{BLOCKED}.4.37:4488

ただし、情報公開日現在、このWebサイトにはアクセスできません。

作成活動

マルウェアは、以下のファイルを作成します。このファイルは、キー入力操作情報を収集するために利用されます。

• %Application Data%\Dobe\{DD-MM-YYYY}

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

情報漏えい

マルウェアは、保存されている以下のEメール認証情報を収集します。

• Microsoft Outlook
• Mozilla Thunderbird

マルウェアは、以下のブラウザから、ユーザ名、パスワードやホスト名といった保存された情報を収集します。

• Opera
• Google Chrome
• Chromium
• Mozilla Firefox
• Mozilla SeaMonkey
• Internet Explorer

その他

マルウェア は、自身（コンピュータに侵入して最初に自身のコピーを作成した マルウェア ）を削除します。

＜補足＞
インストール

マルウェアは、以下のファイルを作成します。

• {マルウェアのパス}\.Identifier

マルウェアは、追加した以下のプロセスにコードを組み込みます。

• notepad.exe

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• 感染コンピュータ上にファイルをダウンロードして実行する
• コマンドシェルを実行する
• プロセスを終了する
• ファイルとフォルダを管理する
• キー入力操作情報を収集する
• ブラウザおよびメールクライアントに保存されているパスワードを取得する