BKDR_SHOTODOR.VH

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、特定のレジストリ値を追加し、タスクマネージャを無効にします。これにより、通常はタスクマネージャを介して行うマルウェアのプロセスの終了が実行できなくなります。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %User Profile%\{random folder name 1}\wdsrvqxx
• %User Profile%\{random folder name 1}\uzklce.TNQ
• %User Profile%\{random folder name 1}\swqtcntxrk.XIM
• %Application Data%\pid.txt
• %Application Data%\pidloc.txt
• %User Temp%\screens\screenshot{number}.jpeg

(註：%User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞" です。.. %Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.. %User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

マルウェアは、以下のファイルを作成し実行します。

• %User Profile%\{random folder name 1}\hotlss.exe

(註：%User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞" です。.)

マルウェアは、以下のフォルダを作成します。

• %User Profile%\{random folder name 1}
• %User Temp%\screens

(註：%User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞" です。.. %User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

マルウェアは、以下のプロセスにコードを組み込み、システムのプロセスに常駐します。

• RegSvcs.exe (v2.0.50727)
• RegAsm.exe (v2.0.50727)
• AppLaunch.exe (v2.0.50727)
• RegSvcs.exe (v4.0.30319)
• RegAsm.exe (v4.0.30319)
• AppLaunch.exe (v4.0.30319)
• twunk_32.exe
• newdev.exe
• ndadmin.exe

自動実行方法

マルウェアは、以下のファイルを作成します。

• %User Profile%\{random folder name 1}\ftprvuzx.cmd - batch file to execute the malware script
• %User Profile%\{random folder name 1}\yvrmcxfibuhla.vbs - vbscript file to execute the dropped batch file
• %User Profile%\{random folder name 1}\run.vbs

(註：%User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞" です。.)

マルウェアは、作成されたコンポーネントがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKCU\Software\Microsoft\
Windows\CurrentVersion\RunOnce
%User Profile%\{random folder name 1} = "%User Profile%\{random folder name 1}\yvrmcxfibuhla.vbs"

マルウェアは、＜User Startup＞フォルダ内に、自身のコピーに誘導する以下のショートカットを作成します。これにより、Windows起動時に自身のコピーが自動実行されます。

• %Start Menu%\start.lnk

(註：%Start Menu%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Windows\Start Menu" または "C:\Documents and Settings\＜ユーザ名＞\Start Menu"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu" です。.)

他のシステム変更

マルウェアは、以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE64\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System
EnableLUA = "0"

(註：変更前の上記レジストリ値は、「1」となります。)

マルウェアは、以下のレジストリ値を追加し、タスクマネージャを無効にします。

HKEY_CURRENT_USER64\Software\Microsoft\
Windows\CurrentVersion\Policies\
System
DisableTaskMgr = "1"

(註：変更前の上記レジストリ値は、「0」となります。)

マルウェアは、以下のレジストリ値を変更し、隠しファイル属性のファイルを非表示にします。

HKEY_CURRENT_USER64\Software\Microsoft\
Windows\CurrentVersion\Policies\
Explorer
NoFolderOptions = "1"

(註：変更前の上記レジストリ値は、「0」となります。)

HKEY_CURRENT_USER64\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
ShowSuperHidden = "0"

(註：変更前の上記レジストリ値は、「1」となります。)

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Delete all registry entries in:
  • HKCU64\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
  • HKLM64\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
• Log Keystrokes
• Download File
• Open Process
• Manipulate the following to send messages:
  • Skype
  • Facebook
  • Steam
  • Omegle
  • RuneScape

情報漏えい

マルウェアは、以下の情報を収集します。

• malware process id
• malware path
• hostname
• Screenshots
• Keyboard Strokes
• Clipboard Data
• System Time
• Internal Language
• Operating System
• Internal IP
• External IP
• AntiVirus Installed
• Firewall Installed
• Current Active Window

マルウェアは、保存されている以下のEメール認証情報を収集します。

• Outlook Express
• Incredimail
• Eudora
• Microsoft Outlook
• Gmail
• Hotmail
• MSN
• Yahoomail
• Netscapemail
• Thunderbird
• GoogleDesktop
• WindowsMail
• WindowsLivemail
• Minecraft
• JDownloader

マルウェアは、以下のブラウザから、ユーザ名、パスワードやホスト名といった保存された情報を収集します。

• Internet Explorer
• Firefox
• Chrome
• Opera
• Safari
• SeaMonkey

情報収集

マルウェアは、SMTPを用いて、自身が収集した情報を以下のEメールアドレスに送信します。

• {BLOCKED}orlogzzz@{BLOCKED}il.com

その他

マルウェアは、以下のWebサイトにアクセスして感染コンピュータのIPアドレスを収集します。

• whatismyipaddress.com