BKDR_SIMDA.HM

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、実行後、自身を削除します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %User Profile%\Application Data\{random filename}.reg
• %User Profile%\Application Data\mcp.ico
• %User Profile%\Application Data\Mozilla\Firefox\Profiles\{random folder name}\searchplugins\search.xml
• %Desktop%\Computer.lnk
• %User Temp%\{random filename}.sys
• %User Temp%\{random filename}.exe
• %User Temp%\{random filename}.tmp
• %User Temp%\{random number}.exe

(註：%User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞" です。. %Desktop%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\デスクトップ"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\デスクトップ" です。. %User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Application Data%\ScanDisc.exe
• %Application Data%\{random filename}.exe
• %User Temp%\{random filename}.tmp

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。. %User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

マルウェアは、実行後、自身を削除します。

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\RunOnce
{random name} = ""%Application Data%\{random filename}.exe" opt"

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System
ConsentPromptBehaviorUser = "0"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System
ConsentPromptBehaviorAdmin = "0"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System
EnableLUA = "0"

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows
update = "shortcut"

マルウェアは、以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Tcpip\Parameters\
Interfaces\{GUID}
NameServer = "8.8.8.8"

(註：変更前の上記レジストリ値は、「""」となります。)

バックドア活動

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• {BLOCKED}t.{pseudorandom characters}.com
• {BLOCKED}e{random integer}.{pseudorandom characters}.com
• {BLOCKED}.{BLOCKED}.131.123
• {BLOCKED}.{BLOCKED}.173.222
• {BLOCKED}.{BLOCKED}.37.21
• {BLOCKED}.{BLOCKED}.83.116
• {BLOCKED}.{BLOCKED}.37.21

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスし、不正なファイルをダウンロードして実行します。

• http://update1.cl64domain.com/abbr=RTK&action=download&setupType=umx&setupFileName=process_64.exe
• http://update1.randomstring.com/update_c1eec.exe

HOSTSファイルの改変

マルウェアは、コンピュータのHOSTSファイルを改変します。これにより、ユーザは、以下のWebサイトにアクセスすると、別のWebサイトに誘導されます。

• google-analytics.com
• ad-emea.doubleclick.net
• statcounter.com

マルウェアは、WindowsのHOSTSファイルに以下の文字列を追加します。

• ::1 localhost
• 192.157.56.28 www.google-analytics.com.
• 192.157.56.28 ad-emea.doubleclick.net.
• 192.157.56.28 www.statcounter.com.
• 93.115.241.27 www.google-analytics.com.
• 93.115.241.27 ad-emea.doubleclick.net.
• 93.115.241.27 www.statcounter.com.

情報漏えい

マルウェアは、以下の情報を収集します。

• Computer Name
• Operating System Version
• Language Information
• System Architecture
• Drive Manufacturer
• Volume Information
• Network Adapter
• SusClientId
• Product Id