FESTI

「FESTI」の亜種は、「Spamnost」としても知られ、ボットのネットワークからコンピュータに侵入します。このマルウェアは2009年に初めて確認されました。マルウェアは、ドロッパを用い、コンピュータ内に自身をインストールします。インストール後、マルウェアは、ルートキットの機能を用い、不正活動を実行します。不正活動の1つに、自身のC&Cサーバからの環境設定ファイルのデータの更新があります。また、マルウェアは、スパムメッセージを送信し、分散型サービス拒否（DDoS）攻撃を実行する可能性のある、プラグインをダウンロードすることもあります。

マルウェアは、ファイアウォールの回避および「HIPS (Host-based Intrusion Prevention System) 」技術の機能を備えています。また、以下を開き、ネットワーク越しにパケットデータを送受信します。

• \Driver\Tcpip\Device\Tcp
• \FileSystem\Ntfs\Ntfs

インストール

マルウェアは、以下のファイルを作成します。

• %System%\drivers\z{random letters}{random digit}.sys

(註：%System%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では "C:\Windows\System32" です。)

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\z{random letters}{random digit}

マルウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\z{random letters}{random digit}
Type = "1"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\z{random letters}{random digit}
ErrorControl = "0"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\z{random letters}{random digit}
Start = "1"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\z{random letters}{random digit}
ImagePath = "%System%\drivers\z{random letters}5.sys"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\z{random letters}{random digit}
DisplayName = "z{random letters}5.sys"

その他

マルウェアは、以下の不正なWebサイトにアクセスします。

• {BLOCKED}ol33.ru
• {BLOCKED}ort.ru