BKDR_YAMIYU.A

マルウェアは、実行されると、自身の不正活動が実行されていることを隠蔽するために、作成した無害な文書ファイル（拡張子DOC）を開き、マイクロソフトの正規Wordファイルを装います。

マルウェアは、自身のコピーの更新版や他の不正プログラムをダウンロードしたり、CMDシェルコマンドを実行したりっといった任意のコマンドを不正リモートユーザから受信します。

マルウェアは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。 マルウェアは、リモートサイトから他のマルウェア、グレイウェアまたはスパイウェアにダウンロードされ、コンピュータに侵入します。 マルウェアは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。

マルウェアは、特定のアプリケーションのアイコンを用いて、検出および削除を避けます。

マルウェアは、特定のWebサイトにアクセスします。これにより、不正リモートユーザにマルウェアのインストールが知らされます。また、不正なファイルがダウンロードされます。この結果、感染コンピュータは、さらなる他の脅威にさらされることとなります。

侵入方法

マルウェアは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。

マルウェアは、リモートサイトから他のマルウェア、グレイウェアまたはスパイウェアにダウンロードされ、コンピュータに侵入します。

マルウェアは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。

インストール

マルウェアは、以下の無害なファイルを作成します。

• %Application Data%\Help\~$link.doc

(註：%Application Data%フォルダは、 Windows 2000、XP、Server 2003 の場合 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" 、 Windows NTの場合 "C:\WINNT\Profiles\＜ユーザ名＞\Application Data"、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞\Application Data" です。)

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Application Data%\Help\WINCHAT.EXE

(註：%Application Data%フォルダは、 Windows 2000、XP、Server 2003 の場合 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" 、 Windows NTの場合 "C:\WINNT\Profiles\＜ユーザ名＞\Application Data"、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞\Application Data" です。)

マルウェアは、以下のアプリケーションのファイルアイコンを使用します。

• Microsoft Word

マルウェアは、以下のフォルダを作成します。

• %Application Data%\Help

(註：%Application Data%フォルダは、 Windows 2000、XP、Server 2003 の場合 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" 、 Windows NTの場合 "C:\WINNT\Profiles\＜ユーザ名＞\Application Data"、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞\Application Data" です。)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
iexplore = %Application Data%\Help\WINCHAT.EXE

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
WINCHAT = %Application Data%\Help\WINCHAT.EXE

バックドア活動

マルウェアは、以下のポートを開き、リモートコマンドを待機します。

• 443

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• {BLOCKED}.{BLOCKED}.137.28

ダウンロード活動

マルウェアは、以下の不正Webサイトにアクセスします。

• http://larry.{BLOCKED}a.com/AWS{random number}.jsp?{random characters}

マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %System Root%\RECYCLER\lssas.exe - BKDR_AGENT.ZZZ
• %System Root%\RECYCLER\conime.exe - BKDR_AGENT.ZZZ

(註：%System Root%は、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。)

その他

マルウェアは、実行されると、自身の不正活動が実行されていることを隠蔽するために、作成した無害な文書ファイル（拡張子DOC）を開き、マイクロソフトの正規Wordファイルを装います。

マルウェアは、不正リモートユーザから以下のような任意のコマンドを受信します。

• 自身のコピーの更新版をダウンロード
• 他の不正プログラムをダウンロード
• CMDシェルコマンドを実行