BKDR_PLUGX.DUKNJ

マルウェアは、他のマルウェアのパッケージとともにコンポーネントとしてコンピュータに侵入します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

侵入方法

マルウェアは、他のマルウェアのパッケージとともにコンポーネントとしてコンピュータに侵入します。

インストール

マルウェアは、以下のコンポーネントファイルを作成します。

• %User Temp%\starter.exe - deleted after
• %User Temp%\splash_screen.dll - deleted after
• %User Temp%\splash_screen.dll.sx deleted after
• %ProgramData%\starter\starter.exe - non-malicious file used to load DLL component
• %ProgramData%\starter\splash_screen.dll - also detected as BKDR_PLUGX.DUKNJ; used to load file with malicious code
• %ProgramData%\starter\hfxpttdyumuzyovm - file containing malicious code

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.. %ProgramData%フォルダは、Windows Vista および 7 の場合、通常、"C:\ProgramData"、Windows 2000、XP (32ビット)、Server 2003 の場合、"C:\Program Files"、Windows XP (64ビット) の場合、"C:\Program Files (x86)" です。)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKCU\Software\Microsoft\
Windows\CurrentVersion\Run
oDQgxcRpBV = %ProgramData%\starter\starter.exe

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Manage files, registries, services and directories
• Log keystrokes and active window
• Restart/Reboot/Shutdown system
• Enumerate processes
• Terminate processes
• Get drive information
• Enumerate network resources
• Set TCP connection state
• Lock workstation
• Display a message box
• Perform port mapping
• Capture screen
• Perform remote shell