BKDR_PROXY.APV

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、ワーム活動の機能を備えていません。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

感染活動

マルウェアは、ワーム活動の機能を備えていません。

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• list, find, read and get file information
• list and get drive information
• delete files
• start or terminate a process
• download and execute arbitrary files
• perform remote shell commands
• sleep
• copy %System%\cmd.exe as {folder specified by remote attacker}\slsa.exe
• copy %System%\ja-JP\cmd.exe.mui as {folder specified by remote attacker}\cmd.exe.mui

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• www.{BLOCKED}asket.net

情報漏えい

マルウェアは、以下のパラメータを受け取ります。

• base64 encoded string containing the username and password of the proxy server of the infected machine separated by a colon

マルウェアは、以下の情報を収集します。

• operating system
• host name
• user name
• IP address
• MAC address

その他

マルウェアが実行するコマンドは、以下のとおりです。

• ファイル情報の列挙、確認、読み込みおよび取得
• ドライブ情報の列挙および取得
• ファイルの削除
• プロセスの開始または終了
• 任意のファイルのダウンロードおよび実行
• リモートシェルコマンドの実行
• スリープ
• "%System%\cmd.exe"を"{folder specified by remote attacker}\slsa.exe"としてコピー
• "%System%\ja-JP\cmd.exe.mui"を"{folder specified by remote attacker}\cmd.exe.mui"としてコピー

マルウェアは、感染コンピュータのプロキシサーバのユーザ名とパスワードを含むbase64エンコードされた文字列を含むパラメータを受け取ります。また、そのユーザ名とパスワードは、コロンで分けられています。

マルウェアが収集する情報は、以下のとおりです。

• オペレーティングシステム
• ホスト名
• ユーザ名
• IPアドレス
• MACアドレス

マルウェアは、ルートキット機能を備えていません。

マルウェアは、脆弱性を利用した感染活動を行いません。