BKDR_SHADESRAT.T

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %Application Data%\Imminent\Logs\{date of first execution}
• %Application Data%\Imminent\Logs\Path.dat

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %System Root%\system32\update.exe
• %Application Data%\system32\update.exe

(註：%System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.. %Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

マルウェアは、以下のフォルダを作成します。

• %System Root%\system32
• %Application Data%\Imminent
• %Application Data%\Imminent\Logs
• %Application Data%\system32

(註：%System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.. %Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
windows = "%Application Data%\system32\update.exe"

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Download file/data
• Open and close CD-ROM drive door
• Shutdown
• Load/Unload plugins
• Download/Start/Stop miner
• Spread using torrent (uTorrent, BitTorrent, Azureus)
• Disable task manager
• Run as a proxy
• Terminate process
• Start keylogging
• Injects to process
• Delete file
• Uninstall itself
• List webcams and monitor/capture video
• Get/Set clipboard data
• Update itself
• Upload files
• Start and control chat sessions
• Capture screenshots
• Perform remote shell

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• crackbabynetworks.{BLOCKED}p.biz

情報漏えい

マルウェアは、以下の情報を収集します。

• AV product installed
• Firewall product installed
• System information (Processor, graphic card)

マルウェアは、以下のブラウザから、ユーザ名、パスワードやホスト名といった保存された情報を収集します。

• Google Chrome
• Mozilla Firefox