BKDR_PLUGX.CA

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。 マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。

マルウェアは、実行後、自身を削除します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のフォルダを作成します。

• %All Users Profile%\SxS
• %User Temp%\RarSFX0

(註：%User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• DoInstPrepare

マルウェアは、以下のプロセスにコードを組み込み、システムのプロセスに常駐します。

• svchost.exe

自動実行方法

マルウェアは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\UPS\Security

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\UPS\Enum

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_CLASSES_ROOT\FAST

HKEY_LOCAL_MACHINE\FAST

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Enum\Root\LEGACY_UPS

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Enum\Root\LEGACY_UPS\
0000

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Enum\Root\LEGACY_UPS\
0000\Control

マルウェアは、以下のレジストリ値を追加します。

HKEY_CLASSES_ROOT\FAST
CLSID = "{random hex values}"

HKEY_LOCAL_MACHINE\FAST
CLSID = "{random hex values}"

マルウェアは、インストールの過程で以下のレジストリキーまたはレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\UPS
ImagePath = ""%System%\Nv.exe" 2000"

(註：変更前の上記レジストリ値は、「"%System%\ups.exe"」となります。)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\UPS
Type = "110"

(註：変更前の上記レジストリ値は、「"10"」となります。)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\UPS
Start = "2"

(註：変更前の上記レジストリ値は、「"3"」となります。)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\UPS
ErrorControl = "0"

(註：変更前の上記レジストリ値は、「"1"」となります。)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\UPS
DisplayName = "ups"

(註：変更前の上記レジストリ値は、「"Uninterruptible Power Suply"」となります。)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\UPS
ObjecName = "LocalSystem"

(註：変更前の上記レジストリ値は、「"NT AUTHORITY\LocalSevice"」となります。)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\UPS
Description = "ups"

(註：変更前の上記レジストリ値は、「"Manages an uninterruptible power supply (UPS) connected to the computer"」となります。)

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Copy, move, rename, delete files
• Create directories
• Create files
• Enumerate files
• Execute files
• Get drive information
• Get file information
• Open and modify files
• Log keystrokes and active window
• Enumerate TCP and UDP connections
• Enumerate network resources
• Set TCP connection state
• Lock workstation
• Log off user
• Restart/Reboot system
• Display a message box
• Perfrom port mapping
• Enumerate processes
• Get process information
• Terminate processes
• Enumerate registry keys
• Create registry keys
• Delete registry keys
• Copy registry keys
• Enumerate registry entries
• Modify registry entries
• Delete registry values
• Screen capture
• Delete services
• Enumerate services
• Get service information
• Modify services
• Start services
• Perform remote shell
• Connect to a database server and execute SQL statement
• Host Telnet server

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• fuckchina.{BLOCKED}b.com
• wmi.{BLOCKED}1.us

作成活動

マルウェアは、以下のファイルを作成します。

• %User Temp%\RarSFX0\Nv.mp3
• %User Temp%\RarSFX0\NvSmartMax.dll - also detected as BKDR_PLUGX.CA
• %User Temp%\RarSFX0\Nv.exe
• %System%\Nv.mp3 - (hidden)
• %System%\NvSmartMax.dll - (hidden) also detected as BKDR_PLUGX.CA
• %System%\Nv.exe - (hidden)

(註：%User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %System%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では "C:\Windows\System32" です。)

情報漏えい

マルウェアは、以下のパラメータを受け取ります。

• -k

その他

マルウェアは、実行後、自身を削除します。