BKDR_SMALL.USCZ

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、ワーム活動の機能を備えていません。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。 マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。

マルウェアは、感染コンピュータ上の特定の情報を収集します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %User Temp%\{random}_tmp.cmd

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• T2015010901
• T2015012802

感染活動

マルウェアは、ワーム活動の機能を備えていません。

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Gather Information
• Get Drives Information
• Get File Information
• Find Files
• Create Folder
• Execute Files
• Move File
• Create Files
• Modify Files
• Empty Recycle Bin
• Terminate Process
• Shutdown
• Send Gathered Information
• Perform Remote Shell
• Sleep

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• http://{BLOCKED}z.{BLOCKED}l.net/{random values}.{random format}
• https://{BLOCKED}z.{BLOCKED}l.net/{random values}.{random format}
  
  where {random format} may be any of the following:
  • asp
  • php
  • jsp
  • aspx
  • htm
  • html
  • shtm
  • shtml
  • cgi
  • xml

ただし、情報公開日現在、このWebサイトにはアクセスできません。

情報漏えい

マルウェアは、感染コンピュータ上の以下の情報を収集します。

• Volume Information
• Computer Name
• User Name
• OS Version
• Drive Information
• File Information

その他

マルウェアが実行する不正リモートユーザからのコマンドは以下のとおりです。

• 情報の収集
• ドライブ情報の取得
• ファイル情報の取得
• ファイルの検索
• フォルダの作成
• ファイルの実行
• ファイルの移動
• ファイルの作成
• ファイルの改変
• リサイクルビンを空にする
• プロセスの終了
• シャットダウン
• 収集した情報の送信
• リモートシェルの実行
• スリープ

{random format} には、以下のいずれかが当てはまります。

• asp
• php
• jsp
• aspx
• htm
• html
• shtm
• shtml
• cgi
• xml

マルウェアが収集する感染コンピュータ上の情報は以下のとおりです。

• ボリューム情報
• コンピュータ名
• ユーザ名
• OSバージョン
• ドライブ情報
• ファイル情報

マルウェアは、ルートキット機能を備えていません。

マルウェアは、脆弱性を利用した感染活動を行いません。