BKDR_WISP.DUK

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、ワーム活動の機能を備えていません。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。 マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %User Temp%\pfile.dat -encrypted content of pfilede.dat
• %User Temp%\put.jpg - to be uploaded on the C&C
• %User Temp%\pfilede.dat - containing information and details done by the program(like downloading of file, proxy, shell executed)
• %User Temp%\tref.tmp - part of the processing contents
• %User Temp%\gfilede.dat - part of the processing contents

(註：%User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

感染活動

マルウェアは、ワーム活動の機能を備えていません。

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Download file
• Execute shell commands
• Upload file
• Terminate Process

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• http://{BLOCKED}l.{BLOCKED}dolphin.com/asp/allow_get.asp?name=sunset.jpg&hostname={hostname}-{IP address of affected system}ff
• http://{BLOCKED}l.{BLOCKED}dolphin.com/asp/allow_put.asp?type=put.jpg&hostname={hostname}-{IP address of the affected system}ff

ダウンロード活動

マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %User Temp%\gfile.dat

(註：%User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

情報漏えい

マルウェアは、以下の情報を収集します。

• Host Name
• IP address of affected Machine
• Proxy server settings(registry,file:prefs.js)
• Password stored by Internet Explorer

マルウェアが作成する以下のファイルは、"pfilede.dat"の暗号化された内容です。

• %User Temp%\pfile.dat

マルウェアが作成する以下のファイルは、C&Cサーバにアップロードされます。

• %User Temp%\put.jpg

マルウェアが作成する以下のファイルは、プログラムによってもたらされる情報や不正活動（ファイルのダウンロード、プロキシ、実行されるシェル等）を含みます。

• %User Temp%\pfilede.dat

マルウェアが作成する以下のファイルは、プロセス中の内容の一部です。

• %User Temp%\tref.tmp
• %User Temp%\gfilede.dat

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• ファイルのダウンロード
• シェルコマンドの実行
• ファイルのアップロード
• プロセスの中断

マルウェアが収集する情報は、以下のとおりです。

• ホスト名
• 感染コンピュータのIPアドレス
• プロキシサーバの設定（レジストリやファイル"prefs.js"）
• IEによって保存されたパスワード

マルウェアは、レジストリを取得することによりプロキシを利用して通信する可能性があります。

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings
Proxyserver={contents of the proxy}

プロキシ設定が利用可能かどうかによっては、マルウェアは、以下のファイルから設定を取得することによってもプロキシを利用して通信する可能性があります。

• prefs.js

マルウェアの実行中、マルウェアは、ファイルの作成や作成したファイルの削除を行う可能性があります。

マルウェアは、ルートキット機能を備えていません。

マルウェアは、脆弱性を利用した感染活動を行いません。