BKDR_NFLOG.XC

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

侵入方法

マルウェアは、以下のリモートサイトからダウンロードされ、コンピュータに侵入します。

• http://www.{BLOCKED}s.com/NfLog/Nfile.asp

自動実行方法

マルウェアは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\IPRIP
Type = 20

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\IPRIP
Start = 2

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\IPRIP
ErrorControl = 1

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\IPRIP
ImagePath = %SystemRoot%\System32\svchost.exe -k netsvc

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\IPRIP
DisplayName = "IPv6 Stack Local Support"c

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\IPRIP
ObjectName = "LocalSystem"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\IPRIP
Description = "Net address translation for IPv6 Protocol"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\IPRIP\Parameters
ServiceDll = {Malware Path and File Name}

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Clock
HID = "{hex values}"

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Download files
• Perform remote shell
• Retrieve system information
• Update self

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• http://www.{BLOCKED}s.com/NfLog/Nfile.asp
• http://www.{BLOCKED}s.com/NfLog/TTip.asp
• http://www.{BLOCKED}s.com/NfLog/NfStart.asp
• http://www.{BLOCKED}s.com/NfLog/NfHostInfo.asp
• http://www.{BLOCKED}s.com/NfLog/NfCommand.asp
• http://www.{BLOCKED}s.com/NfLog/Nfpredown.asp
• http://www.{BLOCKED}s.com/NfLog/NfUpda.asp

マルウェアは、コマンド＆コントロール（C&C）サーバに以下の情報を通知します。

• IP configuration
• Network statistics
• Running processes
• Running services
• System information
• List of files from the folder %userprofile%\recent\

情報収集

マルウェアは、以下のファイル内に収集した情報を保存します。

• %Temp%\$NtUninstallKB942388$

(註：%Temp%は、＜Windows Temporary フォルダ＞のことで、標準設定では "C:\WINNT\Temp" または "C:\Windows\Temp" です。)