BKDR_PSYRAT.A

マルウェアは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。 マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

マルウェアは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %System%\winhost.exe

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
Windows Host = "%System%\winhost.exe"

バックドア活動

マルウェアは、以下のポートを開き、リモートコマンドを待機します。

• 9863

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• whatsismyip - sends IP address of infected machine
• whatami - sends the message "you are a loser"
• version - sends the malware version
• cpuinfo - sends malware version, OS version, Path of Windows Directory, Username, CPU Speed, CPU Type
• getdrives - display drives including their drive types (removable, fixed, cd-rom and etc.)
• listdir {file path} - display file directories
• send file {file path} - uploads file to the C&C server
• get file {file path} - downloads file to the C&C server
• shutdown - turn off computer
• restart - reboot computer
• exe_hid {file path} - execute file with isShown value = 0
• exe_sho {file path} - execute file with isShown value = 1
• fil_del {file path} - delete file
• fil_rename {file path} - rename file
• fil_mov {file path} - move file
• fil_copy {file path} - copy file
• okgo - send portion of the malware code to C&C server

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• http://{BLOCKED}s.{BLOCKED}s.co.uk/retan/log.php

マルウェアは、コマンド＆コントロール（C&C）サーバに以下の情報を通知します。

• Malware version
• Malware password
• Port Number

ただし、情報公開日現在、このサーバには接続できません。