BKDR_TUBS.A

マルウェアは、他のマルウェアに作成され、コンピュータに侵入します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

マルウェアは、ユーザのキー入力操作情報を記録し、情報を収集します。

マルウェア マルウェアは、自身（コンピュータに侵入して最初に自身のコピーを作成した マルウェア ）を削除します。

侵入方法

マルウェアは、以下のマルウェアに作成され、コンピュータに侵入します。

• TROJ_MDROP.JY

インストール

マルウェアは、以下のファイルを作成します。

• %Windows%\fxsst.dll - also detected as BKDR_TUBS.A
• %System%\Ezcob.dll - also detected as BKDR_TUBS.A
• All Users' %User Profile%\Application Data\Windows NT\config.dat - encrypted DLL file
• All Users' %User Profile%\Application Data\Windows NT\wp.dat
• All Users' %User Profile%\Application Data\Windows NT\NtHelpIndex.bak - downloaded code stub
• All Users' %User Profile%\Application Data\Windows NT\NtHelpKey.bak - downloaded code stub
• All Users' %User Profile%\Application Data\Windows NT\Support\{random number}.jj – downloaded code stub
• All Users' %User Profile%\Application Data\Windows NT\Support\{random number}.kb - logged keystrokes and active window

(註：%Windows%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows9x、Me、XP、Server 2003の場合、"C:\Window"、WindowsNT および 2000の場合、"C:\WINNT" です。. %System%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\System"、Windows NT および 2000 の場合、"C:\WinNT\System32"、Windows XP および Server 2003 の場合、"C:\Windows\System32" です。. %User Profile% フォルダは、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞"、Windows NTでは、"C:\WINNT\Profiles\＜ユーザ名＞"、Windows 2000, XP, Server 2003の場合は、"C:\Documents and Settings\＜ユーザ名＞" です。)

マルウェアは、以下のプロセスを追加します。

• explorer.exe

マルウェアのDLLコンポーネントは、以下のプロセスに組み込まれます。

• explorer.exe

マルウェアは、以下のフォルダを作成します。

• All Users' %User Profile%\Application Data\Windows NT
• All Users' %User Profile%\Application Data\Windows NT\Support

(註：%User Profile% フォルダは、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞"、Windows NTでは、"C:\WINNT\Profiles\＜ユーザ名＞"、Windows 2000, XP, Server 2003の場合は、"C:\Documents and Settings\＜ユーザ名＞" です。)

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• Global\Ezcob
• Global\@`{

自動実行方法

マルウェアは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Ezcob
DisplayName = "Ezcob"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Ezcob
ErrorControl = "1"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Ezcob
ImagePath = "%SystemRoot%\System32\svchost.exe -k netsvcs"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Ezcob
ObjectName = "LocalSystem"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Ezcob
Start = "2"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Ezcob
Type = "120"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Ezcob\Parameters
ServiceDll = "%System%\Ezcob.dll"

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Ezcob

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Ezcob\Enum

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Ezcob\Parameters

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Ezcob\Security

マルウェアは、以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\SvcHost
netsvcs = "{Default values} Ezcob"

(註：変更前の上記レジストリ値は、「{Default values} 」となります。)

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Download and execute file from server
• Download code stub from server
• Activate code stub
• Deactivate code stub

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• www.{BLOCKED}jiaozihaha.net

情報漏えい

マルウェアは、ユーザのキー入力操作情報を記録し、情報を収集します。

その他

マルウェアは、以下のWebサイトにアクセスしてインターネット接続を確認します。

• 1.{BLOCKED}st.{BLOCKED}22.org.cn
• 2.{BLOCKED}st.{BLOCKED}22.org.cn
• 3.{BLOCKED}st.{BLOCKED}22.org.cn
• 4.{BLOCKED}st.{BLOCKED}22.org.cn

マルウェア は、自身（コンピュータに侵入して最初に自身のコピーを作成した マルウェア ）を削除します。