BKDR_POISON.SMF

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。 マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。

マルウェアは、ユーザのキー入力操作情報を記録し、情報を収集します。

マルウェア マルウェアは、自身（コンピュータに侵入して最初に自身のコピーを作成した マルウェア ）を削除します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %System%\ns{number}dos - contains logged keystrokes on active windows

(註：%System%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では "C:\Windows\System32" です。)

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %System%\ns{number}dos.exe

(註：%System%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では "C:\Windows\System32" です。)

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• )!GmvD.P4
• )!gNCfhT7
• )!UfMfsv7

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Active Setup\Installed Components\{CLSID}
StubPath = "%System%\ns{number}dos.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
msdos-debug{number or letter} = "%System%\ns{number}dos.exe"

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Manage files, registry, processes, services, devices, and installed applications
• Download and inject remote codes to legitimate processes
• Capture screenshots, webcam and audio
• Log keystrokes and active window
• Manage open windows
• Perform remote shell
• Relay server
• Retrieve cached passwords and hashes
• Send hardware information (CPU speed, Memory)
• Send system information (LAN IP, WAN IP, Computer name, User name, Account Type, OS)
• Update, Uninstall, Restart the malware
• View active ports

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• {BLOCKED}.{BLOCKED}.37.90:80
• {BLOCKED}.{BLOCKED}.35.101:80
• {BLOCKED}.{BLOCKED}.35.102:80

情報漏えい

マルウェアは、ユーザのキー入力操作情報を記録し、情報を収集します。

その他

マルウェア は、自身（コンピュータに侵入して最初に自身のコピーを作成した マルウェア ）を削除します。