BKDR_PRESHIN.AB

マルウェアは、他のマルウェアに作成され、コンピュータに侵入します。 マルウェアは、他のマルウェアまたはグレイウェアのパッケージとともにコンポーネントとして、コンピュータに侵入します。

マルウェアは、ワーム活動の機能を備えていません。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。 ただし、情報公開日現在、このWebサイトにはアクセスできません。

ただし、情報公開日現在、このWebサイトにはアクセスできません。

マルウェアは、感染コンピュータや感染ユーザから特定の情報を収集します。

侵入方法

マルウェアは、他のマルウェアに作成され、コンピュータに侵入します。

マルウェアは、他のマルウェアまたはグレイウェアのパッケージとともにコンポーネントとして、コンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• {malware file name}.{malware extension}-KLMP.pf

マルウェアは、以下のプロセスを追加します。

• iexplore.exe

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• Ultro_ISO_0369

感染活動

マルウェアは、ワーム活動の機能を備えていません。

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Download File
• Download and Execute File

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• http://www.{BLOCKED}p.caedufjf.net/my/logon.php?000932{random characters}

ただし、情報公開日現在、このWebサイトにはアクセスできません。

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスして自身のコンポーネントファイルをダウンロードします。

• http://www.{BLOCKED}p.caedufjf.net/my/logon.php?000932{random characters}

マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %User Temp%\iacup.dat

(註：%User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

ただし、情報公開日現在、このWebサイトにはアクセスできません。

情報漏えい

マルウェアは、以下の情報を収集します。

• Host Name
• Local IP Address
• OS Version

情報収集

マルウェアは、以下のファイル内に収集した情報を保存します。

• %User Temp%\wg.dat - will be deleted afterwards

(註：%User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

その他

マルウェアは、以下のWebサイトにアクセスしてインターネット接続を確認します。

• www.google.com

マルウェアが実行するコマンドは以下のとおりです。

• ファイルのダウンロード
• ファイルのダウンロードおよび実行

マルウェアが集取する情報は以下のとおりです。

• ホスト名
• ローカルIPアドレス
• オペレーティングシステム（OS）のバージョン

マルウェアが収集した情報を保存するためのファイルは以下のとおりです。このファイルは後に削除されます。

• %User Temp%\wg.dat

マルウェアを完全に実行するためには、マルウェアが以下のプロセスのいずれかにより実行される必要があります。

• rundll32.exe
• iexplore.exe
• firefox.exe

また、マルウェアは、"www.google.com" にアクセスし、ファイルをダウンロードして以下のように保存します。このファイルは後に削除されます。

• %User Temp%\losivp.tmp

マルウェアは、ルートキット機能を備えていません。

マルウェアは、脆弱性を利用した感染活動を行いません。