HTML_BADEY.A

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。その理由として、ダメージ度や感染力、あるいは、その両方の脅威レベルの高まりが挙げられます。特にこのマルウェアは、Internet Explorer (IE)のゼロデイ脆弱性を悪用します。これにより、リモートコードの実行が可能になります。この脆弱性は、IEのいくつかのバージョンの無効なフラグ参照に起因します。この脆弱性は、特定の状況下において、オブジェクトが削除された後でもそのオブジェクトにアクセスできることに起因しています。特定の攻撃は、この脆弱性を利用してリモートコードの実行を可能にします。

このマルウェアは、ソフトウェアの脆弱性を利用して不正なファイルをダウンロードします。この脆弱性が利用できると、マルウェアは、Webサイトにアクセスして他の不正なファイルをダウンロードします。マルウェアは、ダウンロードしたファイルを "%User Temp%\log.gif" というファイル名で保存します。このファイルは、「BKDR_BADEY.A」として検出されます。

マルウェアは、ダウンロードしたファイルを "%User Profile%\Application Data\alg.exe" として復号します。その後、マルウェアは、この実行ファイルを実行します。その結果、このファイルの不正活動が感染コンピュータ上で展開されることとなります。ダウンロードされたファイルは、実行後、このマルウェアにより削除されます。

マルウェアは、Webサイトに組み込まれており、ユーザがアクセスすると実行されます。

侵入方法

マルウェアは、Webサイトに組み込まれており、ユーザがアクセスすると実行されます。

ダウンロード活動

マルウェアは、以下のソフトウェアに存在する脆弱性を利用して感染活動をします。これにより、不正ファイルがダウンロードされます。

• Vulnerability in Internet Explorer Could Allow Remote Code Execution

この脆弱性が利用されると、マルウェアは、以下のWebサイトにアクセスし、他の不正なファイルをダウンロードします。:

• http://www.{BLOCKED}lub.com/reg/linkbl.gif

マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %User Temp%\log.gif - detected as BKDR_BADEY.A

（註：%User Temp%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、Windows XP、Server 2003 の場合、"C:\Documents and Settings\＜ユーザ名＞\Local Settings\Temp" です。）

・その他：

マルウェアは、ダウンロードしたファイルを以下のように復号します。

• %User Profile%\Application Data\alg.exe

（註：%User Profile%は、通常、Windows 2000, XP, Server 2003 の場合、"C:\Documents and Settings\＜ユーザ名＞" です。）

マルウェアは、この実行ファイルを実行します。

ダウンロードされたファイルは、実行後、このマルウェアにより削除されます。