BKDR_TAVDIG.GUD

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

マルウェアは、Windows XP/Server 2003に存在するゼロデイ脆弱性を利用した攻撃の最終ペイロードとなります。このマルウェアに感染したコンピュータは、セキュリティの侵害に見舞われる可能性があります。

マルウェアは、他のマルウェアに作成され、コンピュータに侵入します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

侵入方法

マルウェアは、以下のマルウェアに作成され、コンピュータに侵入します。

• TROJ_PIDIEF.GUD

インストール

マルウェアは、以下のプロセスにコードを組み込みます。

• explorer.exe
• iexplore.exe
• chrome.exe
• firefox.exe
• opera.exe

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows NT\CurrentVersion\Winlogon
Shell = "explorer.exe, {Malware Path and filename}.exe"

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Delete files
• Download and execute files
• Send information to C&C
• Terminate itself

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• http://blog.{BLOCKED}splay.com/wp-includes/sitemap/
• http://{BLOCKED}e.ir/wp-content/plugins/online-chat/

マルウェアは、コマンド＆コントロール（C&C）サーバに以下の情報を通知します。

• File listing on certain path including temporary folder
• IPv4 TCP connection table
• IPv4 User Datagram Protocol (UDP) listener table
• Information of running processes
• Installed Windows updates
• Windows information
• Computer name
• Country name
• Current date
• Current directory
• Drive information
• Local group
• Network resource
• Operating system info
• Processor info
• System directory
• System language
• Time zone
• Uptime
• User accounts
• User language
• User name

その他

マルウェアが実行するコマンドは、以下のとおりです。

• ファイルの削除
• ファイルのダウンロードおよび実行
• C&Cサーバへ情報を送信
• 自身の終了

マルウェアがC&Cサーバに送信する情報は、以下のとおりです。

• 一時フォルダを含む特定のパス上のファイルのリスト
• IPv4 TCP コネクションテーブル
• IPv4 User Datagram Protocol (UDP) 待ち受けテーブル
• 実行中のプロセスの情報
• インストールされたMicrosoft Update
• ウインドウの情報
• コンピュータ名
• 国名
• 現在の日付
• 現在のディレクトリ
• ドライブの情報
• ローカルグループ
• ネットワークのリソース
• OS情報
• プロセッサの情報
• システムディレクトリ
• システムの言語
• タイムゾーン
• 起動時間
• ユーザアカウント
• ユーザ言語
• ユーザ名

マルウェアは、以下のネットワーク監視に関連するプロセスのいずれかを確認した場合、自身の不正活動を実行しません。

• tcpdump.exe
• windump.exe
• ethereal.exe
• wireshark.exe
• ettercap.exe
• snoop.exe
• dsniff.exe