BKDR_PROXY.APS

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、ワーム活動の機能を備えていません。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。 ただし、情報公開日現在、このWebサイトにはアクセスできません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %User Temp%\leassap.exe - detected as BKDR_PROXY.APS

(註：%User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

マルウェアは、以下のコンポーネントファイルを作成します。

• %User Temp%\20140805.doc

(註：%User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
Userinit = "%System%\userinit.exe,%User Temp%\leassap.exe,"

(註：変更前の上記レジストリ値は、「"%System%\userinit.exe,"」となります。)

マルウェアは、Windows起動時に自動実行されるよう＜User Startup＞フォルダ内に以下のファイルを作成します。

• %ProgramData%\Microsoft\Windows\Start Menu\Programs\Startup\FlashUtil_ActiveX.lnk-lnk to drop copy(Windows 7 and Vista)
• %User Startup%\FlashUtil_ActiveX.lnk-lnk to drop copy(Windows XP)
• %Application Data%\Microsoft\Windows\Start Menu\Programs\Startup\FlashUtil_ActiveX.lnk-lnk to drop copy(Windows 7 and Vista)
• %All Users Profile%\Start Menu\Programs\Startup\FlashUtil_ActiveX.lnk- link to drop copy(Windows XP)

(註：%ProgramData%フォルダは、Windows Vista および 7 の場合、通常、"C:\ProgramData"、Windows 2000、XP (32ビット)、Server 2003 の場合、"C:\Program Files"、Windows XP (64ビット) の場合、"C:\Program Files (x86)" です。. %User Startup%フォルダは、Windows 98 および ME の場合、通常、"C:\Windows\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup"、Windows NT の場合、"C:\WINNT\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup" および "C:\Documents and Settings\＜ユーザ名＞\Start Menu\Programs\Startup" です。. %Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

感染活動

マルウェアは、ワーム活動の機能を備えていません。

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Download and execute arbitrary files
• Use proxy server settings of current user
• Delete Arbitrary File
• Upload Files
• Perform Remote Shell
• Load a file using LoadLibrary
• Search Files
• Gather Proxy Settings
• Enumerate Processes
• Gather Credentials from the user's Credential set.(CredEnumerate)
• Gather Credentials from Protected storage.(PStoreCreateInstance)

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• http://{BLOCKED}e-oowakudani.jp/book/index.php
• http://www.{BLOCKED}i-fp.jp/book/index.php

ただし、情報公開日現在、このWebサイトにはアクセスできません。

その他

マルウェアは、以下のWebサイトにアクセスしてインターネット接続を確認します。

• http://www.microsoft.com
• http://www.msftncsi.com
• http://www.yahoo.co.jp

マルウェアは、「BKDR_PROXY.APS」として検出される以下のファイルを作成します。

• %User Temp%\leassap.exe

マルウェアが実行する不正リモートユーザのコマンドは以下のとおりです。

• 任意のファイルのダウンロードおよび実行
• 現在のユーザのプロキシサーバ設定の利用
• 任意のファイルの削除
• ファイルのアップロード
• リモートシェルの実行
• LoadLibraryを利用するファイルの読み込み
• ファイルの検索
• プロキシ設定の収集
• プロセスの列挙
• ユーザのクレデンシャルセットから認証情報を収集(CredEnumerate)
• 保護されたストレージから認証情報を収集(PStoreCreateInstance)

マルウェアは、列挙されたウィンドウ上の以下の文字列を確認し、確認された場合、スリープします。

• ollydbg
• W32Dasm
• Wireshark
• SoftICE
• Process Explorer
• Process Monitor
• Process Hacker

マルウェアは、ルートキット機能を備えていません。

マルウェアは、脆弱性を利用した感染活動を行いません。