BKDR_VAWTRAK.YJ

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、すべての実行中プロセスに組み込まれ、システムのプロセスに常駐します。

マルウェアは、ワーム活動の機能を備えていません。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %All Users Profile%\Application Data\{random filename}.dat - detected also as BKDR_VAWTRAK.YJ
• %ProgramData%\{random filename}.dat - detected also as BKDR_VAWTRAK.YJ (For Windows Vista above)

(註：%ProgramData%フォルダは、Windows Vista および 7 の場合、通常、"C:\ProgramData"、Windows 2000、XP (32ビット)、Server 2003 の場合、"C:\Program Files"、Windows XP (64ビット) の場合、"C:\Program Files (x86)" です。)

マルウェアは、すべての実行中プロセスに組み込まれ、システムのプロセスに常駐します。

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{random filename} = "regsvr32.exe "%All Users Profile%\Application Data\{random filename}.dat""

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{random filename} = "regsvr32.exe "%ProgramData%\{random filename}.dat"" (For Windows Vista above)

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_CLASSES_ROOT\CLSID\{CLSID 1}

HKEY_CLASSES_ROOT\CLSID\{CLSID 2}

HKEY_CURRENT_USER\Software\Classes\
CLSID\{CLSID 1}

HKEY_CURRENT_USER\Software\Classes\
CLSID\{CLSID 2}

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Main
NoProtectedModeBanner = "1"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Main
TabProcGrowth = "0"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
Zones\3
2500 = "3"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings
GlobalUserOffline = "0"

HKEY_CLASSES_ROOT\CLSID\{CLSID 1}
#cert = "31"

HKEY_CURRENT_USER\Software\Classes\
CLSID\{CLSID 1}
#cert = "31"

HKEY_CLASSES_ROOT\CLSID\{CLSID 2}
{CLSID 3} = "{hex values}"

HKEY_CURRENT_USER\Software\Classes\
CLSID\{CLSID 2}
{CLSID 3} = "{hex values}"

HKEY_CLASSES_ROOT\CLSID\{CLSID 2}
{CLSID 4} = "{hex values}"

HKEY_CURRENT_USER\Software\Classes\
CLSID\{CLSID 2}
{CLSID 4} = "{hex values}"

感染活動

マルウェアは、ワーム活動の機能を備えていません。

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Update itself
• Download and execute files
• List active processes
• Perform remote shell
• Execute file
• Keylog
• Capture Screenshot
• Monitor sound
• Start/Stop process (iexplore.exe, firefox.exe, outlook.exe, explorer.exe, cmd.exe, taskmgr.exe)
• Inject to process
• Get clipboard data

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• http://{domain name}/viewforum.php?f={value}&sid={value}
• http://{domain name}/posting.php?mode=reply&f={value}&t={value}&sid={value}
• http://{domain name}/posting.php?mode=post&f={value}&sid={value}

情報漏えい

マルウェアは、コンピュータ内に以下のFTPクライアントまたはファイルマネージャのアカウント情報が保存されている場合、これらのアカウント情報を収集します。

• 32BitFtp
• 3D-FTP
• AceBIT
• ALFTP
• BitKinex
• BlazeFtp
• Bullet Proof FTP
• ClassicFTP
• CoffeeCup
• COREFTP
• Cryer
• CuteFTP
• CuteFTP 6 Home
• CuteFTP 6 Professional
• CuteFTP 7 Home
• CuteFTP 7 Professional
• CuteFTP 8 Home
• CuteFTP 8 Professional
• CuteFTP Lite
• CuteFTP Pro
• Cyberduck
• DataDirBak
• DeluxeFTP
• Directory Opus
• EasyFTP
• ExpanDrive
• Far
• Far2
• FFFTP
• FileZilla
• FlashFXP
• Fling
• FreshFTP
• Frigate3
• FTP Commander
• FTP CONTROL
• FTP Explorer
• FTP Navigator
• FTP Salt
• FTP++.Link
• FTPGetter
• FTPInfo
• FTPNow
• FTPRush
• FTPShell
• FTPVoyager
• Ghisler
• Global Downloader
• GoFTP
• LeapFTP
• LeechFTP
• LinasFTP
• Martin Prikryl
• My FTP
• NetDrive
• NetSarang
• NexusFile
• Notepad++
• NovaFTP
• Odin
• PuTTY
• RhinoSoft
• RimArts
• Robo-FTP
• SecureFX
• SmartFTP
• SoftX.org
• Staff-FTP
• TurboFTP
• UltraFXP
• Visicom Media
• WebDrive
• WinFTP
• WinZip FTP
• WS_FTP

マルウェアは、保存されている以下のEメール認証情報を収集します。

• IncrediMail
• Outlook
• PocoMail
• The Bat!
• Windows Live Mail
• Windows Mail

マルウェアは、以下のブラウザから、ユーザ名、パスワードやホスト名といった保存された情報を収集します。

• Thunderbird
• FastStone Browser
• Epic Browser
• Flock
• K-Meleon
• Firefox
• SeaMonkey