BKDR_PROXY.TORYK

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、ワーム活動の機能を備えていません。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下の無害なファイルを作成します。

• c:\Users\{user name}\AppData\Roaming\avetir.exe - copy of %System%\cmd.exe

(註：%System%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では "C:\Windows\System32" です。)

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• WDaxxxxWWaK

感染活動

マルウェアは、ワーム活動の機能を備えていません。

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Start or terminate processes or threads
• Download and execute arbitrary files
• Perform remote shell commands
• Enumerate files and directories
• Read files
• Get user name
• Get computer name
• Get OS type and version
• Get processor information
• Get drive information
• Get and use proxy settings
• Sleep for an amount of time

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• http://www.{BLOCKED}g.com

情報漏えい

マルウェアは、以下の情報を収集します。

• User name
• Computer name
• OS type and version
• Processor information
• Drive information

その他

マルウェアが作成する以下のファイルは、"%System%\cmd.exe"のコピーです。

• c:\Users\{user name}\AppData\Roaming\avetir.exe

マルウェアが実行するコマンドは、以下のとおりです。

• プロセスまたはスレッドの開始または終了
• 任意のファイルのダウンロードおよび実行
• リモートシェルコマンドの実行
• ファイルおよびディレクトリの列挙
• ファイルの読み込み
• ユーザ名の取得
• コンピュータ名の取得
• オペレーションシステム（OS）のタイプと種類
• プロセッサ情報の取得
• ドライブ情報の取得
• プロキシ設定の取得および利用
• 一定時間スリープ

マルウェアが収集する情報は、以下のとおりです。

• ユーザ名
• コンピュータ名
• OSのタイプとバージョン
• プロセッサ情報
• ドライブ情報

マルウェアは、プロキシ関連のレジストリ値を読み込むことによりプロキシを利用するコンピュータのユーザを確認します。確認されると、マルウェアは、そのユーザのプロキシサーバの設定を利用し、C&Cサーバに接続します。

マルウェアは、ルートキット機能を備えていません。

マルウェアは、脆弱性を利用した感染活動を行いません。