BKDR_SIMBOT.BK

マルウェアは、他のマルウェアに作成され、コンピュータに侵入します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

侵入方法

マルウェアは、以下のマルウェアに作成され、コンピュータに侵入します。

• TROJ_MDROPR.BK

インストール

マルウェアは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

• %System%\msiehtc.exe

(註：%System%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\System"、Windows NT および 2000 の場合、"C:\WinNT\System32"、Windows XP および Server 2003 の場合、"C:\Windows\System32" です。)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\policies\
Explorer\Run
msginit = "%System%\msiehtc.exe"

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\policies\
Explorer

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\policies\
Explorer\Run

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
ESENT\Process\msiehtc

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
ESENT\Process\msiehtc\
DEBUG

マルウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
ESENT\Process\msiehtc\
DEBUG
Trace Level = ""

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Download and execute files
• Execute files
• Read files
• Enumerate drives
• Get drive information
• Enumerate processes
• Terminate processes
• Get process information
• Perform remote shell

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• http://ftp.{BLOCKED}ofthelpa.net

マルウェアは、コマンド＆コントロール（C&C）サーバに以下の情報を通知します。

• Computer name
• IP address
• Infection time
• Mac address
• Malware process ID
• User name