BKDR_VERNOT.A

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

マルウェアは、Evernoteに接続することで不正リモートユーザからのコマンドを受信し、実行します。マルウェアの被害に遭ったユーザは、コンピュータのセキュリティが脅かされます。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %User Temp%\NETUT.dll - Also detected as BKDR_VERNOT.A

(註：%User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

マルウェアのDLLコンポーネントは、以下のプロセスに組み込まれます。

• explorer.exe

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を変更します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows NT\CurrentVersion\Windows
load = "{Malware path and file name}.exe"

(註：変更前の上記レジストリ値は、「"" 」となります。)

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Download files
• Execute files
• Rename files
• Unzip archive files

情報漏えい

マルウェアは、以下の情報を収集します。

• Affected machine’s Registered Owner
• Affected machine’s Registered Organization
• Affected machine's OS information
• Affected machine's Time Zone
• Affected machine's User Name
• Affected machine's Computer Name

その他

マルウェアが実行するコマンドは以下のとおりです。

• ファイルのダウンロード
• ファイルの実行
• ファイル名の改称
• アーカイブファイルの解凍

マルウェアが収集する感染コンピュータに関する情報は以下のとおりです。

• オペレーティングシステム（OS）情報
• タイムゾーン
• ユーザ名
• コンピュータ名
• 登録されている所有者
• 登録されている組織

マルウェアは、データの記録・保存サービスを提供する「Evernote」の以下の正規サイトにアクセスします。

• https://evernote.com/intl/zh-cn

このマルウェアがEvernoteアカウントにログインする際に利用するユーザ認証情報が失効しているため、自身のバックドア活動を実行しません。

マルウェアは、利用する認証情報が有効だった場合、以下の不正活動を行う可能性があります。

• Evernoteのアカウントに保存されているノートから自身のコマンド＆コントロール（C&C）サーバを取得する
• Evernoteのアカウントに保存されているノートから自身のバックドアコマンドを問い合わせる
• 収集した情報を送信するための場所として、Evernoteのノートを利用する