BKDR_TDSS.ASH

マルウェアは、リモートサイトから他のマルウェアまたはグレイウェアにダウンロードされ、コンピュータに侵入します。

マルウェアは、特定のレジストリ値を削除するため、アプリケーションやプログラムが正しく起動しなくなります。

マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。

マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

マルウェアは、リモートサイトから以下のマルウェアまたはグレイウェアにダウンロードされ、コンピュータに侵入します。

• WORM_OTORUN.ASH

マルウェアは、以下のリモートサイトからダウンロードされコンピュータに侵入します。

• http://{BLOCKED}.162.20/service/scripts/files/aff_50045.dll
• http://{BLOCKED}123.34/service/scripts/files/aff_50045.dll
• http://{BLOCKED}9.88.7/X

インストール

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• Creates the mutex Global\9e6af8f3-75f3-4b67-877a-c80125d7bc08 if the path of the executable file does not contain any of the following strings
  • explo
  • firefox
  • opera
  • safari
  • netsc
  • avant
  • browser
  • mozill
  • wuauclt
• Global\3006345f-6baf-4669-a7e1-aaa310564be9
• Global\9e6af8f3-75f3-4b67-877a-c80125d7bc08
• Global\a68d7de8-eba6-4a54-90e0-9cb9d93b3ed7
• Global\cc51461b-e32a-4883-8e97-e0706dc65415
• Global\452fefe0-a06e-400f-8d6b-6a12a0a09d4b

他のシステム変更

マルウェアは、以下のファイルを削除します。

• %System%\drivers\etc\hosts

(註：%System%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\System"、Windows NT および 2000 の場合、"C:\WinNT\System32"、Windows XP および Server 2003 の場合、"C:\Windows\System32" です。)

マルウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\GloballyOpenPorts\
List
67:UDP = "67:UDP:EnabledHCP Server"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\main\FeatureControl\
FEATURE_BROWSER_EMULATION
{executable name} = "{hex value}"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings
maxhttpredirects = "{hex value}"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings
enablehttp1_1 = "1"

マルウェアは、以下のレジストリ値を変更します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
zones\3
1601 = "0"

(註：変更前の上記レジストリ値は、「1」となります。)

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
zones\3
1400 = "0"

(註：変更前の上記レジストリ値は、「0」となります。)

HKEY_USERS\.DEFAULT\Software\
Microsoft\Internet Explorer\International
acceptlanguage = "{local}"

(註：変更前の上記レジストリ値は、「{user defined}」となります。)

マルウェアは、以下のレジストリ値を削除します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Tcpip\Parameters
DhcpNameServer = "{Preferred DNS}"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Tcpip\Parameters
DhcpDomain = "localdomain"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Tcpip\Parameters\
Interfaces\{Adapter ID}
DhcpNameServer = "{Preferred DNS}"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Tcpip\Parameters\
Interfaces\{Adapter ID}
DhcpDefaultGateway = "{Default Gateway}"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Tcpip\Parameters\
Interfaces\{Adapter ID}
DhcpDomain = "localdomain"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Tcpip\Parameters\
Interfaces\{Adapter ID}
DhcpSubnetMaskOpt = "{Subnet Mask}"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{Adapter ID}\Parameters\
Tcpip
DhcpDefaultGateway = "{Default Gateway}"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{Adapter ID}\Parameters\
Tcpip
DhcpSubnetMaskOpt = "{Subnet Mask}"

バックドア活動

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• http://{BLOCKED}update.com
• http://{BLOCKED}9.88.8/spr.dll - detected as WORM_OTORUN.ASH

その他

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• http://{BLOCKED}.{BLOCKED}.193.171/
• http://{BLOCKED}i813ck.com/
• http://{BLOCKED}yt0.com/
• http://{BLOCKED}ckl1i1i.com/
• http://{BLOCKED}uke.com/
• http://{BLOCKED}cho.com/
• http://{BLOCKED}o81.com/
• http://{BLOCKED}o81.com/
• https://{BLOCKED}b6.com/
• https://{BLOCKED}im1.com/
• https://{BLOCKED}i71.com/
• https://{BLOCKED}ka.in/
• https://{BLOCKED}anno.com/