BKDR_TINPAD.A

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のコンポーネントファイルを作成します。

• %User Temp%\$MsAutoUpdate.exe - also detected as BKDR_TINPAD.A
• %User Temp%\load.dat - also detected as BKDR_TINPAD.A
• %Windows%\ernel32.dll - also detected as BKDR_TINPAD.A
• %Windows%\thumb.db - also detected as BKDR_TINPAD.A
• All Users' %User Profile%\svchost.exe - also detected as BKDR_TINPAD.A

(註：%User Temp%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\Temp"、Windows NT の場合、"C:\Profiles\＜ユーザー名＞\TEMP"、Windows 2000、XP、Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\TEMP" です。. %Windows%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows9x、Me、XP、Server 2003の場合、"C:\Window"、WindowsNT および 2000の場合、"C:\WINNT" です。. %User Profile% フォルダは、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞"、Windows NTでは、"C:\WINNT\Profiles\＜ユーザ名＞"、Windows 2000, XP, Server 2003の場合は、"C:\Documents and Settings\＜ユーザ名＞" です。)

マルウェアは、以下の無害なファイルを作成します。

• %User Temp%\{malware's file name less 4 characters} - decoy .PDF file

(註：%User Temp%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\Temp"、Windows NT の場合、"C:\Profiles\＜ユーザー名＞\TEMP"、Windows 2000、XP、Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\TEMP" です。)

マルウェアのDLLコンポーネントは、以下のプロセスに組み込まれます。

• explorer.exe
• iexplore.exe
• taskmgr.exe

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• thinkpad
• IDll

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
winsupdate = "All Users' %User Profile%\svchost.exe"

HKEY_CURRENT_USER\Software\Microsoft\
Windows NT\CurrentVersion\Windows
run = "All Users' %User Profile%\svchost.exe"

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Create a process
• Enumerate running processes
• Get process information
• Terminate a process
• Enumerate files and folders
• Get drive information
• Get file information
• Create a folder
• Delete a file/folder
• Move a file/folder
• Upload a file to C&C server
• Download a file from C&C server
• Execute a file
• Perform remote shell
• Take a screenshot
• Perform port mapping

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• {BLOCKED}dated.dyndns.org

マルウェアは、コマンド＆コントロール（C&C）サーバに以下の情報を通知します。

• Computer name
• Local IP address
• OS version information
• Processor information
• RAM information
• User name