BKDR_POSTBOT.ER

マルウェアは、情報収集の機能を備えていません。

マルウェアは、ルートキットの機能を備えていません。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

マルウェアは、リモートサイトから他のマルウェア、グレイウェアまたはスパイウェアにダウンロードされ、コンピュータに侵入します。 マルウェアは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。

侵入方法

マルウェアは、リモートサイトから他のマルウェア、グレイウェアまたはスパイウェアにダウンロードされ、コンピュータに侵入します。

マルウェアは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。

インストール

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• siueu2dowg

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\tmp123

マルウェアは、インストールの過程で、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer
MMID = {hex values}

ダウンロード活動

マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %System%\svch0st.exe

(註：%System%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\System"、Windows NT および 2000 の場合、"C:\WinNT\System32"、Windows XP および Server 2003 の場合、"C:\Windows\System32" です。)

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• 他のWebサイトにアクセス
• 他のファイルのダウンロード
• /u パラメータで "%System%\svch0st.exe" の実行
• /g パラメータで "%System%\svch0st.exe" の実行
• 任意の "CMD.EXE" シェルコマンドを実行
• すべてのドライブの列挙およびドライブ情報の収集
• 新しいディレクトリの作成
• プロセスの追加
• プロセスの終了

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• ＜ホスト名＞\＜ランダムな英数字の文字列＞＜ハードコードされた文字列＞.php

＜ホスト名＞は、以下のいずれかです。

• newz.{BLOCKED}eck.org
• {BLOCKED}te.nameserver.ns2.name

＜ハードコードされた文字列＞は、以下のいずれかです。

• lkwoeg.php
• qowgmh.php
• nlwghg.php
• adowhg.php
• zjfohh.php
• whgohy.php
• shoheg.php
• xoghgh.php
• eoirhh.php
• dhbgbb.php
• gheowt.php
• chtgot.php
• rthghh.php
• fbhbbt.php
• vhgbgw.php
• thgowe.php
• wehowe.php
• yhhbwe.php
• ndsewt.php
• klgewo.php

ただし、情報公開日現在、上記Webサイトはアクセス不能のようです。