BKDR_QULKONWI.GHR

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

米国のデザイン・テクノロジー系ブログサイト「Gizmodo」のブラジル版が改ざんされ、マルウェアは、この改ざんされたWebサイトに組み込まれていました。マルウェアは、Adobe Flash Playerの偽のダウンロード版として侵入します。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %User Temp%\{4 random numbers}.tmp
• %User Temp%\t.reg
• %Application Data%\temp.txt - This file receives the strings to be appended to addon.exe and to be deleted right after

(註：%User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

マルウェアは、以下のコンポーネントファイルを作成します。

• %Application Data%\WinNTService.vbs - detected as VBS_PROXY.BEE
• %All Users Profile%\javau.n - detected as VBS_PROXY.BEE

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %All Users Profile%\addon.exe

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
System
EnableLUA = "0"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
System
ConsentPromptBehaviorAdmin = "0"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings
AutoConfigURL = "%All Users Profile%\javau.n"

バックドア活動

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• http://{BLOCKED}.{BLOCKED}.203.163/rename/00006/c.php?tip=[0][WINXP][][[P]&inf=
• http://{BLOCKED}.{BLOCKED}.203.163/rename/00003/notify.php
• http://{BLOCKED}.{BLOCKED}4.com/nmupd.txt

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスして自身のコンポーネントファイルをダウンロードします。

• http://{BLOCKED}.{BLOCKED}.203.164/ver.vbs - It saves the downloaded file as %Application Data%\WinNtService.vbs
• http://{BLOCKED}.{BLOCKED}4.com/yes.vbs - copy of %Application Data%\WinNtService.vbs
• http://{BLOCKED}.{BLOCKED}4.com/windesktop.gif
• http://{BLOCKED}.{BLOCKED}4.com/pluginchrome.zip - It saves the downloaded file as %Application Data%\Google\Chrome\User Data\Default\pluginchrome.zip - detected as BREX_EUPUDS.GHR

その他

マルウェアが作成する以下のファイルは、"addon.exe"に付加される文字列を受け取り、直後に削除されます。

• %Application Data%\temp.txt

マルウェアが作成する以下のコンポーネントファイルは、「VBS_PROXY.BEE」として検出されます。

• %Application Data%\WinNTService.vbs
• %All Users Profile%\javau.n

以下からダウンロードされるコンポーネントファイルは、"%Application Data%\WinNtService.vbs"として保存されます。

• http://{BLOCKED}.{BLOCKED}.203.164/ver.vbs

以下からダウンロードされるコンポーネントファイルは、"%Application Data%\WinNtService.vbs"のコピーです。

• http://{BLOCKED}.{BLOCKED}4.com/yes.vbs

以下からダウンロードされるファイルは、"%Application Data%\Google\Chrome\User Data\Default\pluginchrome.zip"として保存されます。

• http://{BLOCKED}.{BLOCKED}4.com/pluginchrome.zip

マルウェアは以下を実行し、通信を確認します。

• %System%\ping.exe -n 1 g.{BLOCKED}p14.com

マルウェアは、以下のバックドアコマンドを利用する可能性があります。

• BBABORT
• BBALL
• BBCANCEL
• BBCLOSE
• BBHELP
• BBIGNORE
• BBNO
• BBOK
• BBRETRY
• BBYES
• CDROM
• CLOSEDFOLDER
• CURRENTFOLDER
• EXECUTABLE
• FLOPPY
• HARD
• KNOWNFILE
• NETWORK
• OPENFOLDER
• PREVIEWGLYPH
• RAM
• UNKNOWNFILE
• DLGTEMPLATE
• DVCLAL
• PACKAGEINFO
• TFORM1

マルウェアは、以下を正規のファイル"%User Profile%\Application Data\Mozilla\Firefox\Profiles\{random}\prefs.js"に付加します。

• user_pref(network.proxy.autoconfig_url)%All Users Profile%\javau.n)
• user_pref(network.proxy.type, 2)

マルウェアは、以下を作成してフォルダ"%Application Data%\Google\Chrome\User Data\Default\Extensions\{random characters}"に展開します。

• %Application Data%\Google\Chrome\User Data\Default\pluginchrome.zip

このファイルは、以下のファイル／コンポーネントを含んでいます。

• getPagesSource.js
• img\flash128.png
• img\flash48.png
• img\Thumbs.db
• manifest.json
• popup.html
• popup.js