BKDR_REDLEAVES.ZLFC-A

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。 マルウェアは、他のマルウェアに作成され、コンピュータに侵入します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。 ただし、情報公開日現在、このWebサイトにはアクセスできません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、以下のマルウェアに作成され、コンピュータに侵入します。

• W2KM_REDLEAVES.NVE

インストール

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• e(56109H!

自動実行方法

マルウェアは、Windows起動時に自動実行されるよう＜User Startup＞フォルダ内に以下のファイルを作成します。

• %User Startup%\CmrcFFHet.lnk - points to non-malicious executable (VizorHtmlDialog.exe) that loads this malicious DLL file.

(註：%User Startup%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞\Start Menu\Programs\Startup" 、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、" C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup" です。.)

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Execute commands using command prompt
• System Information
  • Operating System Version
  • System Type (32-bit or 64-bit)
  • Memory
  • Language
  • Computer name
  • IP Address
• Update C2 configuration
• Upload/Download files

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• http://{BLOCKED}tikhonova.{BLOCKED}.org/index.php

ただし、情報公開日現在、このWebサイトにはアクセスできません。

その他

マルウェアが自身の不正活動を実行するためには、以下のファイルが必要になります。

• VizorHtmlDialog.exe - non-malicious file that loads this malicious DLL.

＜補足＞

自動実行方法

マルウェアは、Windows起動時に自動実行されるよう%User Startup%フォルダ内に以下のファイルを作成します。このファイルは、実行ファイル "VizorHtmlDialog.exe" に誘導するショートカットファイルです。

• %User Startup%\CmrcFFHet.lnk

そして "VizorHtmlDialog.exe" は不正なDLLファイル "BKDR_REDLEAVES.ZLFC-A" を読み込みます。

（註：%User Startup%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞\Start Menu\Programs\Startup" 、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、" C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup" です。）

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• コマンドプロンプトによるコマンドの実行
• コンピュータ情報の収集
  • オペレーティングシステム（OS）のバージョン情報
  • システムタイプ（32ビットか64ビットか）
  • メモリ
  • 言語
  • コンピュータ名
  • IPアドレス
• C&Cサーバの環境設定の更新
• ファイルのアップロードおよびダウンロード

その他

マルウェアが不正活動を実行するためには、無害な実行ファイル "VizorHtmlDialog.exe" が必要です。この実行ファイルによって、不正なDLLファイル "BKDR_REDLEAVES.ZLFC-A" が読み込まれます。