BKDR_SHOTODOR.TL

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、特定のレジストリ値を追加し、タスクマネージャを無効にします。これにより、通常はタスクマネージャを介して行うマルウェアのプロセスの終了が実行できなくなります。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

マルウェアは、上記プロセスが確認されると、そのプロセスを停止します。これにより、感染コンピュータ上で自身の実行を確実にします。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• {Script path}\run.vbs
• %User Profile%\945nt9197sbll\check.txt

(註：%User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞" です。)

マルウェアは、以下のプロセスに自身を組み込み、システムのプロセスに常駐します。

• RegSvcs.exe
• RegAsm.exe
• AppLaunch.exe
• RegSvcs.exe
• RegAsm.exe
• AppLaunch.exe
• newdev.exe
• twunk_32.exe
• ndadmin.exe

マルウェアは、以下のフォルダを作成します。

• %User Profile%\945nt9197sbll

(註：%User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞" です。)

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• Adobe.exe

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER64\Software\Microsoft\
Windows\CurrentVersion\RunOnce
945nt9197sbll = "%User Profile%\945nt9197sbll\98358.vbs"

マルウェアは、以下のファイルを作成します。

• %User Profile%\945nt9197sbll\97154.cmd - batch file to execute the malware script
• %User Profile%\945nt9197sbll\98358.vbs - vbscript file to execute the dropped batch file

(註：%User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞" です。)

マルウェアは、＜User Startup＞フォルダ内に、自身のコピーに誘導する以下のショートカットを作成します。これにより、Windows起動時に自身のコピーが自動実行されます。

• %Start Menu%\start.lnk

(註：%Start Menu%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Windows\Start Menu" または "C:\Documents and Settings\＜ユーザ名＞\Start Menu"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu" です。)

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE64\Software\Microsoft\
Windows NT\CurrentVersion\SPP\
Clients

マルウェアは、以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE64\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System
EnableLUA = 0

(註：変更前の上記レジストリ値は、「"1"」となります。)

マルウェアは、以下のレジストリ値を追加し、タスクマネージャを無効にします。

HKEY_CURRENT_USER64\Software\Microsoft\
Windows\CurrentVersion\Policies\
System
DisableTaskMgr = 1

(註：変更前の上記レジストリ値は、「"0"」となります。)

マルウェアは、以下のレジストリ値を変更し、隠しファイル属性のファイルを非表示にします。

HKEY_CURRENT_USER64\Software\Microsoft\
Windows\CurrentVersion\Policies\
Explorer
NoFolderOptions = 1

(註：変更前の上記レジストリ値は、「"0"」となります。)

HKEY_CURRENT_USER64\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
ShowSuperHidden = 0

(註：変更前の上記レジストリ値は、「"1"」となります。)

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Delete all files in %Start Menu%
• Delete all registry entries in:
  HKCU64\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
  HKCU64\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
  HKLM64\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
  HKLM64\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
• Download files
• Log keystrokes
• Manipulate the following to send messages:
  
  • Skype
  • Facebook
  • Steam
  • Omegle
  • TinyChat
  • RunEscape

(註：%Start Menu%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Windows\Start Menu" または "C:\Documents and Settings\＜ユーザ名＞\Start Menu"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu" です。)

その他

マルウェアは、以下のプロセスの存在を確認します。

• VboxService.exe
• VMwaretray.exe

マルウェアは、上記プロセスが確認されると、そのプロセスを停止します。これにより、感染コンピュータ上で自身の実行を確実にします。