BKDR_NOANCOOE.THAOCAI

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

マルウェアは、感染コンピュータ上の特定の情報を収集します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Program Files%\{String1}\{String2}.exe

(註：%Program Files%フォルダは、デフォルトのプログラムファイルフォルダです。Windows 2000、Server 2003、XP（32-bit）,Vista（32-bit）、7（32-bit）、8（32-bit）の場合、通常 "C:\Program Files"です。また、Windows XP（64-bit）、Vista（64-bit）、7（64-bit）、8（64-bit）の場合、通常 "C:\Program Files（x86）" です。)

マルウェアは、以下のプロセスを追加します。

• tross.sfx.exe -p126 -d%temp%

マルウェアは、以下のフォルダを作成します。

• %Application Data%\{GUID}
• %Application Data%\{GUID}\Logs
• %Application Data%\{GUID}\Logs\{user name}
• %Program Files%\{String1}{String2}

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。. %Program Files%フォルダは、デフォルトのプログラムファイルフォルダです。Windows 2000、Server 2003、XP（32-bit）,Vista（32-bit）、7（32-bit）、8（32-bit）の場合、通常 "C:\Program Files"です。また、Windows XP（64-bit）、Vista（64-bit）、7（64-bit）、8（64-bit）の場合、通常 "C:\Program Files（x86）" です。)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Run
{String1}{String3} = %Program Files%\{String1}{String3}\{String1}{String2}.exe

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Manage its backdoor file:
  • Update itself
  • Restart connection
  • Disconnect
  • Terminate itself
  • Uninstall itself
• System Control:
  • Restart machine
  • Shutdown machine
  • Lock machine
  • Browse files and folders
  • Task Manager
  • Edit registry
  • Remote console (Command Prompt)
  • Remote execute a file
  • Remote execute a script (Batch, HTML, VBS, Python, Java, PHP)
  • Remote control the machine
  • Remote control mouse
  • Recover browser passwords
  • Log Keystrokes
  • View the screen/webcam
  • Listen to audio/microphone
  • Send Messages / Chat with the malicious user
  • Swap/Unswap mouse buttons
  • Open/Close CD/DVD Tray

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• {BLOCKED}ra.hopto.org:4722
• {BLOCKED}n.ddns.net:4722

作成活動

マルウェアは、以下のファイルを作成します。

• %Application Data%\{GUID}\catalog.dat
• %Application Data%\{GUID}\run.dat
• %Application Data%\{GUID}\settings.bin
• %Application Data%\{GUID}\Logs\{user name}\KB_{Random numbers}.dat

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

情報漏えい

マルウェアは、感染コンピュータ上の以下の情報を収集します。

• Computer Name
• User Name
• CPU Usage
• Available and Free Memory
• Active Window Title
• Operating System Version
• System Type (32-bit or 64-bit)
• Malware Filename
• Installed Anti-Virus/Anti-Spyware