BKDR_PLUGX.EAJ

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

マルウェア マルウェアは、自身（コンピュータに侵入して最初に自身のコピーを作成した マルウェア ）を削除します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %Program Files%\Common Files\McAfee\McAfee.exe ← normal file used to load msi.dll
• %Program Files%\Common Files\McAfee\McUtil.dll ← copy of itself, detected as BKDR_PLUGX.EAJ
• %Program Files%\Common Files\McAfee\McUtil.dll.mc ← config data; detected as BKDR_PLUGX.EAJ

(註：%Program Files%フォルダは、プログラムファイルのフォルダで、いずれのオペレーティングシステム(OS)でも通常、 "C:\Program Files"、64bitのOS上で32bitのアプリケーションを実行している場合、 "C:\Program Files (x86)" です。.)

マルウェアは、以下のプロセスを追加します。

• %System%\svchost

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

マルウェアは、以下のプロセスに自身を組み込み、システムのプロセスに常駐します。

• svchost.exe

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Manage files, registries, services and directories
• Log keystrokes and active window
• Restart/Reboot/Shutdown system
• Enumerate processes
• Terminate processes
• Get drive information
• Enumerate network resources
• Set TCP connection state
• Lock workstation
• Display a message box
• Perfrom port mapping
• Capture screen
• Perform remote shell

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• http://air.{BLOCKED}n.org/{random values}

作成活動

マルウェアは、以下のファイルを作成します。

• %Program Files%\Common Files\McAfee\{random file name 1} → encrypted data
• %Program Files%\Common Files\McAfee\{random file name 2} → encrypted data

(註：%Program Files%フォルダは、プログラムファイルのフォルダで、いずれのオペレーティングシステム(OS)でも通常、 "C:\Program Files"、64bitのOS上で32bitのアプリケーションを実行している場合、 "C:\Program Files (x86)" です。.)

その他

マルウェア は、自身（コンピュータに侵入して最初に自身のコピーを作成した マルウェア ）を削除します。