• Email
• Facebook
• Twitter
• Google+
• Linkedin

BKDR_IRCBOT.DAM

---

• マルウェアタイプ: バックドア型
• 破壊活動の有無: なし
• 暗号化: なし
• 感染報告の有無: はい

---

  概要

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

マルウェアは、CNNからの「リビアの元最高指導者カダフィ大佐の死に関連するビデオ」についてのメールを装ったスパムメールを介してコンピュータに侵入します。マルウェアは、実行されると、リモートサーバに特定の情報を送信します。

マルウェアは、特定のWebサイトから自身のコピーの更新版をダウンロードします。

マルウェアは、実行後、自身を削除します。

---

  詳細

侵入方法

マルウェアは、以下のリモートサイトからダウンロードされ、コンピュータに侵入します。

• http://www.{BLOCKED}tinoamerica.com/Gadhafi/video.php
• http://{BLOCKED}8.{BLOCKED}5.238.133/system/FUD.exe

インストール

マルウェアは、実行後、自身を削除します。

マルウェアは、以下の通常のプロセスにスレッドを組み込みます。

• EXPLORER.EXE

バックドア活動

マルウェアは、以下のポートを開き、リモートコマンドを待機します。

• TCP 1685

マルウェアは、以下のいずれかのIRCサーバに接続します。

• {BLOCKED}ro.ru

マルウェアは、以下のいずれかのIRCチャンネルに接続します。

• #infe

その他

マルウェアは、以下のWebサイトにアクセスして感染コンピュータのIPアドレスを収集します。

• http://api.wipmania.com/

マルウェアがIRCサーバに接続すると、不正リモートユーザは、このマルウェアのコピーの更新版をダウンロードするためのコマンドを送信します。情報公開日現在、以下のWebサイトからマルウェアのコピーをダウンロードするようサーバからの応答がありました。

• http://{BLOCKED}8.{BLOCKED}5.238.133/system/FUD.exe

マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %Application Data%\C.exe

(註：%Application Data%フォルダは、 Windows 2000、XP、Server 2003 の場合 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" 、 Windows NTの場合 "C:\WINNT\Profiles\＜ユーザ名＞\Application Data"、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞\Application Data" です。)

マルウェアは、ファイルをダウンロードすると、リモートサーバに以下の情報を送信します。

• ファイルをダウンロードしたURL
• ダウンロードしたファイルのファイルサイズ
• 実行されたファイル
• ダウンロードを試みた回数

マルウェアは、また、不正リモートユーザからの以下のコマンドも実行します。

• 接続の強制終了
• 接続のリセット

マルウェアは、自身のコードエラーにより、不正活動を実行することはできません。これは、このマルウェアのファイル構造に重大な損傷があり、エントリポイントにこのマルウェアが実行するためのアドレスが正しく示されていないことが原因だと考えられます。

---

  対応方法

ご利用はいかがでしたか？　アンケートにご協力ください