BKDR_XTRAT.JS

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、実行後、自身を削除します。

ただし、情報公開日現在、このWebサイトにはアクセスできません。

マルウェアは、システム情報を収集します。 マルウェアは、ユーザのキー入力操作情報を記録し、情報を収集します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、実行後、自身を削除します。

マルウェアは、以下のプロセスに自身を組み込み、システムのプロセスに常駐します。

• iexplorer.exe
• svchost.exe

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\XtremeRAT
Mutex = "fdgdfgdfg"

HKEY_CURRENT_USER\Software\fdgdfgdfg
ServerStarted = "{Date and Time}"

バックドア活動

マルウェアは、以下のポートを開き、リモートコマンドを待機します。

• TCP port 8888

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• http://{BLOCKED}d.{BLOCKED}o.org:50002/1411.functions
• http://{BLOCKED}a.{BLOCKED}e.nu:50002/1411.functions

ただし、情報公開日現在、このWebサイトにはアクセスできません。

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスして自身のコンポーネントファイルをダウンロードします。

• http://www.{BLOCKED}ad.{BLOCKED}supdate.com/msdownload/update/v3/static/trustedr/en/authrootseq.txt

情報漏えい

マルウェアは、システム情報を収集します。

マルウェアは、ユーザのキー入力操作情報を記録し、情報を収集します。

情報収集

収集した情報は、以下のファイルに保存されます。

• %Application Data%\Microsoft\Windows\fdgdfgdfg.dat

(註：%Application Data%フォルダは、 Windows 2000、XP、Server 2003 の場合 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" 、 Windows NTの場合 "C:\WINNT\Profiles\＜ユーザ名＞\Application Data"、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞\Application Data" です。)