BKDR_POSTBOT.G

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、ワーム活動の機能を備えていません。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• swdk1wgs5dre

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer
MMID = "{random value}"

感染活動

マルウェアは、ワーム活動の機能を備えていません。

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Enumerate all drives with corresponding drive types
• Enumerate files and directories
• Copy, move, rename, or delete files
• Create directories
• Create or terminate processes
• Copy %System%\cmd.exe as %User Temp%\ms38340fhgs.exe
• Perform remote shell
• Upload files to C&C server
• Download files from C&C server
• Execute the file %System%\svch0st.exe with the parameter /u
• Execute the file %System%\svch0st.exe with the parameter /g
• Sleep for a specified amount of time

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• {C&C domain name}/{8 random characters}{hard-coded string}
  where {hard-coded string} can be any of the following:
  • 815.php
  • 91b.php
  • 082.php
  • 45f.php
  • 682.php
  • 739.php
  • d93.php
  • eb4.php
  • f27.php
  • 1bc.php
  • 2da.php
  • 3e6.php
  • 472.php
  • 5c2.php
  • 617.php
  • 7f8.php
  • a26.php
  • 292.php
  • 3a2.php
  • c19.php
  • 18c.php
  • 51d.php

ダウンロード活動

マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %System%\svch0st.exe

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

その他

マルウェアが実行するコマンドは、以下のとおりです。

• 該当のドライブタイプのすべてのドライブの列挙
• ファイルおよびディレクトリの列挙
• ファイルのコピー、移動、改称または削除
• ディレクトリの作成
• プロセスの作成または終了
• "%System%\cmd.exe"を"%User Temp%\ms38340fhgs.exe"としてコピー
• リモートシェルの実行
• C&Cサーバへファイルのアップロード
• C&Cサーバからファイルのダウンロード
• パラメータ"/u"で"%System%\svch0st.exe"を実行
• パラメータ"/g"で"%System%\svch0st.exe"を実行
• 特定の時間スリープ

「{hard-coded string}」は、以下のいずれかとなる可能性があります。

• 815.php
• 91b.php
• 082.php
• 45f.php
• 682.php
• 739.php
• d93.php
• eb4.php
• f27.php
• 1bc.php
• 2da.php
• 3e6.php
• 472.php
• 5c2.php
• 617.php
• 7f8.php
• a26.php
• 292.php
• 3a2.php
• c19.php
• 18c.php
• 51d.php

マルウェアは、以下のURLへアクセスすることによりプロキシ通信を利用する可能性があります。

• {Proxy server name}:{Port Number}

プロキシサーバ名およびポート番号は、レジストリキー"mmsoft"により決定されます。このキーが存在しない場合、マルウェアは、デフォルトのプロキシ設定を利用します

マルウェアは、以下のURLへアクセスし、自身の環境設定を読み込みます。

• http://{BLOCKED}cj.com/blog/wp-includes/pomo/index.php

マルウェアの環境設定は、C&Cドメイン名情報を含んでいます。ただし、情報公開日現在、上述のURLは、すでにアクセス不能です。

マルウェアは、ルートキット機能を備えていません。

マルウェアは、脆弱性を利用した感染活動を行いません。