BKDR_POISON.BTE

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

他のシステム変更

マルウェアは、インストールの過程で、以下のレジストリ値を追加します。

HKEY_CLASSES_ROOT\My20130401.Document
Default = "My2013 Document"

HKEY_CLASSES_ROOT\My20130401.Document\shell\
open\command
Default = "{Malware Path and File Name}.exe /dde"

HKEY_CLASSES_ROOT\My20130401.Document\DefaultIcon
Default = "{Malware Path and File Name}.exe,0"

HKEY_CLASSES_ROOT\My20130401.Document\shell\
open\ddeexec
Default = "[open("%1")]"

HKEY_CLASSES_ROOT\My20130401.Document\shell\
print\command
Default = "{Malware Path and File Name}.exe /dde"

HKEY_CLASSES_ROOT\My20130401.Document\shell\
printto\ddeexec
Default = "[printto("%1","%2","%3","%4")]"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
My20130401.Document
Default = "My2013 Document"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
My20130401.Document\DefaultIcon
Default = "{Malware Path and File Name}.exe,0"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
My20130401.Document\shell\open\
command
Default = "{Malware Path and File Name}.exe /dde"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
My20130401.Document\shell\open\
ddeexec
Default = "[open("%1")]"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
My20130401.Document\shell\print\
command
Default = "{Malware Path and File Name}.exe /dde"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
My20130401.Document\shell\print\
ddeexec
Default = "[print("%1")]"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
My20130401.Document\shell\printto\
command
Default = "{Malware Path and File Name}.exe /dde"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
My20130401.Document\shell\printto\
ddeexec
Default = "[printto("%1","%2","%3","%4")]"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Active Setup\Installed Components\{GUID}
StubPath = "%Windows%:msvbkernel.exe"

HKEY_CLASSES_ROOT\My20130401.Document\shell\
open\ddeexec
Default = "[print("%1")]"

HKEY_CLASSES_ROOT\My20130401.Document\shell\
printo\command
Default = "{Malware Path and File Name}.exe /dde"

マルウェアは、インストールの過程で、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Active Setup\Installed Components\{GUID}

HKEY_CLASSES_ROOT\My20130401.Document

HKEY_CLASSES_ROOT\My20130401.Document\DefaultIcon

HKEY_CLASSES_ROOT\My20130401.Document\shell

HKEY_CLASSES_ROOT\My20130401.Document\shell\
open

HKEY_CLASSES_ROOT\My20130401.Document\shell\
open\command

HKEY_CLASSES_ROOT\My20130401.Document\shell\
open\ddeexec

HKEY_CLASSES_ROOT\My20130401.Document\shell\
print

HKEY_CLASSES_ROOT\My20130401.Document\shell\
print\command

HKEY_CLASSES_ROOT\My20130401.Document\shell\
print\ddeexec

HKEY_CLASSES_ROOT\My20130401.Document\shell\
printto

HKEY_CLASSES_ROOT\My20130401.Document\shell\
printto\command

HKEY_CLASSES_ROOT\My20130401.Document\shell\
printto\ddeexec

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
My20130401.Document

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
My20130401.Document\DefaultIcon

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
My20130401.Document\shell

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
My20130401.Document\shell\open

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
My20130401.Document\shell\open\
command

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
My20130401.Document\shell\open\
ddeexec

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
My20130401.Document\shell\print

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
My20130401.Document\shell\print\
command

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
My20130401.Document\shell\print\
ddeexec

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
My20130401.Document\shell\printto

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
My20130401.Document\shell\printto\
command

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
My20130401.Document\shell\printto\
ddeexec

作成活動

マルウェアは、以下のファイルを作成します。

• %Windows%:msvbkernel.exe

(註：%Windows%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、"C:\Windows" です。)

その他

マルウェアは、以下の不正なWebサイトにアクセスします。

• {BLOCKED}m.{BLOCKED}linux.com