BKDR_PRESHIN.JTT

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。 マルウェアは、リモートサイトから他の不正プログラムにダウンロードされ、コンピュータに侵入します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

マルウェアは、感染コンピュータや感染ユーザから特定の情報を収集します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、リモートサイトから以下の不正プログラムによりダウンロードされ、コンピュータに侵入します。

• TROJ_PRESHIN.JTT

インストール

マルウェアは、以下のファイルを作成します。

• %User Profile%\set.ini - encrypted component
• %User Profile%\rundll32.exe
• %User Profile%\dbgeng.dll
• %User Temp%\{random}ptd.bat - deleted after execution. This contains commands to list system information

(註：%User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞" です。. %User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

マルウェアは、以下のプロセスを追加します。

• iexplore.exe

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• Ultro_ISO_0369

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
dllhost services = "%User Profile%\rundll32.exe"

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Download and execute arbitrary file
• Download file

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• http://{BLOCKED}.{BLOCKED}.3.122:8080/logon.php?{random value}

ダウンロード活動

マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %User Temp%\{random}up.dat

(註：%User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

情報漏えい

マルウェアは、以下の情報を収集します。

• IP configuration
• List of running services
• Network connections
• List of computers in current domain

情報収集

マルウェアは、以下のファイル内に収集した情報を保存します。

• %User Temp%\wg{number}.dat - deleted afterwards

(註：%User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

その他

マルウェアが作成する以下のファイルは、暗号化されたコンポーネントです。

• %User Profile%\set.ini

マルウェアが作成する以下のファイルは、実行後に削除されます。このファイルは、コンピュータの情報を列挙するコマンドを含んでいます。

• %User Temp%\{random}ptd.bat

マルウェアが実行する不正リモートユーザからのコマンドは以下のとおりです。

• 任意のファイルのダウンロードおよび実行
• ファイルのダウンロード

マルウェアが収集する情報は以下のとおりです。

• IP設定
• 実行中のサービスの一覧
• ネットワーク接続
• 現在のドメインのコンピュータの一覧

マルウェアが収集した情報を保存する以下のファイルは、その後削除されます。

• %User Temp%\wg{number}.dat

マルウェアは、以下に関連する保存されたパスワードを収集します。

• MS Outlook
• Internet Explorer