BKDR_PROXY.AG

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、ワーム活動の機能を備えていません。

マルウェアは、Internet Explorer（IE）のウィンドウを非表示で開きます。 マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下の無害なファイルを作成します。

• %System%\miscvs.exe - copy of %System%\cmd.exe
• %System Root%\Documents and Settings\{user name}\Application Data\Microsoft\Plugins\miscvs.exe - copy of %System%\cmd.exe

(註：%System%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では "C:\Windows\System32" です。. %System Root%フォルダは、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。)

感染活動

マルウェアは、ワーム活動の機能を備えていません。

バックドア活動

マルウェアは、IEのウィンドウを非表示で開きます。

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Start or terminate processes or threads
• Download and execute arbitrary files
• Perform remote shell commands
• Enumerate files and directories
• Read files
• Get user name
• Get computer name
• Get OS type and version
• Get processor information
• Get drive information
• Get and use proxy settings
• Sleep for an amount of time

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• http://{BLOCKED}pa.{BLOCKED}nfix.com

情報漏えい

マルウェアは、以下の情報を収集します。

• User name
• Computer name
• OS type and version
• Processor information
• Drive information

その他

マルウェアが作成する以下のファイルは、"%System%\cmd.exe"のコピーです。

• %System%\miscvs.exe
• %System Root%\Documents and Settings\{user name}\Application Data\Microsoft\Plugins\miscvs.exe

マルウェアが実行するコマンドは、以下のとおりです。

• プロセスまたはスレッドの開始または終了
• 任意のファイルのダウンロードおよび実行
• リモートシェルコマンドの実行
• ファイルおよびディレクトリの列挙
• ファイルの読み込み
• ユーザ名の取得
• コンピュータ名の取得
• オペレーティングシステム(OS)のタイプおよびバージョンの取得
• プロセッサの情報の取得
• ドライブ情報の取得
• プロキシ設定の取得および利用
• 一定時間スリープ

マルウェアが収集する情報は、以下のとおりです。

• ユーザ名
• コンピュータ名
• OSのタイプおよびバージョン
• プロセッサの情報
• ドライブ情報

マルウェアは、プロキシ関連レジストリ値を読み込むことにより、プロキシを利用するコンピュータユーザを確認します。確認された場合、マルウェアは、そのユーザのプロキシサーバの設定を利用し、自身のC&Cサーバに接続します。

マルウェアは、ルートキット機能を備えていません。

マルウェアは、脆弱性を利用した感染活動を行いません。