BKDR_POISON.KM

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、ワーム活動の機能を備えていません。

マルウェアは、ダウンロードする機能を備えていません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• If logged in as an administrator:
  • %System%:msxmlconfer.exe
  • %System%\msxmlconfer.exe (if dropping %System%:msxmlconfer.exe is not successful)
• If not logged in as an administrator:
  • %User Profile%\Application Data:msxmlconfer.exe
  • %User Profile%\Application Data\msxmlconfer.exe (if dropping %User Profile%\Application Data:msxmlconfer.exe is not successful)

(註：%System%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\System"、Windows NT および 2000 の場合、"C:\WinNT\System32"、Windows XP および Server 2003 の場合、"C:\Windows\System32" です。. %User Profile% フォルダは、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞"、Windows NTでは、"C:\WINNT\Profiles\＜ユーザ名＞"、Windows 2000, XP, Server 2003の場合は、"C:\Documents and Settings\＜ユーザ名＞" です。)

マルウェアは、以下のプロセスに自身を組み込み、システムのプロセスに常駐します。

• explorer.exe

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• KDKEK#&^%

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\Software\Microsoft\
Active Setup\Installed Components\{5AE6AEF5-E067-B2F3-0489-98435CA721B7}
StubPath = "%System%:msxmlconfer.exe" or "%System%\msxmlconfer.exe" (if logged in as an administrator)

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
{5AE6AEF5-E067-B2F3-0489-98435CA721B7} = "%User Profile%\Application Data:msxmlconfer.exe" or "%User Profile%\Application Data\msxmlconfer.exe" (if not logged in as an administrator)

感染活動

マルウェアは、ワーム活動の機能を備えていません。

作成活動

マルウェアは、以下のファイルを作成します。このファイルは、キー入力操作情報を収集するために利用されます。

• If logged in as administrator:
  • %System%:msxmlconfer
  • %System%\msxmlconfer (if dropping %System%:msxmlconfer.exe is not successful)
• If not logged in as administrator:
  • %User Profile%\Application Data:msxmlconfer
  • %User Profile%\Application Data\msxmlconfer (if dropping %User Profile%\Application Data:msxmlconfer.exe is not successful)

(註：%System%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\System"、Windows NT および 2000 の場合、"C:\WinNT\System32"、Windows XP および Server 2003 の場合、"C:\Windows\System32" です。. %User Profile% フォルダは、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞"、Windows NTでは、"C:\WINNT\Profiles\＜ユーザ名＞"、Windows 2000, XP, Server 2003の場合は、"C:\Documents and Settings\＜ユーザ名＞" です。)

ダウンロード活動

マルウェアは、ダウンロードする機能を備えていません。

その他

マルウェアが作成する自身のコピーは、以下のとおりです。

• 管理者権限としてログインした場合
• %System%:msxmlconfer.exe
• %System%\msxmlconfer.exe （"%System%:msxmlconfer.exe" の作成が成功しなかった場合）

• 管理者権限としてログインしていない場合
• %User Profile%\Application Data:msxmlconfer.exe
• %User Profile%\Application Data\msxmlconfer.exe （"%User Profile%\Application Data:msxmlconfer.exe" の作成が成功しなかった場合）

マルウェアがユーザのキー入力操作情報の記録のために作成するファイルは、以下のとおりです。

• 管理者権限としてログインした場合
• %System%:msxmlconfer
• %System%\msxmlconfer （"%System%:msxmlconfer" の作成が成功しなかった場合）

• 管理者権限としてログインしていない場合
• %User Profile%\Application Data:msxmlconfer
• %User Profile%\Application Data\msxmlconfer （"%User Profile%\Application Data:msxmlconfer" の作成が成功しなかった場合）

ユーザのキー入力操作情報の記録のために作成するファイルは、トレンドマイクロの製品では、「Mal_Xin10」の検出名です。

マルウェアは、非表示でデフォルトのブラウザを起動します。そしてマルウェアは、バックドア活動を行うために、非表示のデフォルトブラウザにコードを組み込みます。

マルウェアは、以下のWebサイトへアクセスし、バイナリインストラクションを受信します。そして受信したバイナリインストラクションを実行します。

• ＜省略＞cnmlgb.8800.org:80

マルウェアは、ルートキット機能を備えていません。

マルウェアは、脆弱性を利用した感染活動を行いません。