• Email
• Facebook
• Twitter
• Google+
• Linkedin

Backdoor.Win32.DARKOMET.NLJ

---

• マルウェアタイプ: バックドア型
• 破壊活動の有無: なし
• 暗号化: なし
• 感染報告の有無: はい

---

  概要

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、ワーム活動の機能を備えていません。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。 マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。

マルウェアは、ユーザのキー入力操作情報を記録し、情報を収集します。

---

  詳細

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のフォルダを追加します。

• %User Temp%\dclogs

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

マルウェアは、以下のプロセスを追加します。

• "%User Startup%\.exe"

(註：%User Startup%フォルダは、現在ログオンしているユーザのスタートアップフォルダです。Windows 98およびMEの場合、通常 "C:\Windows\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows NTの場合、通常 "C:\WINNT\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows 2003(32-bit)、XP、2000(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows Vista、7、8、 8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup" です。)

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• DC_MUTEX-ZSSE2WW

自動実行方法

マルウェアは、Windows起動時に自動実行されるよう＜User Startup＞フォルダ内に以下のファイルを作成します。

• %User Startup%\.exe → dropped copy of itself

(註：%User Startup%フォルダは、現在ログオンしているユーザのスタートアップフォルダです。Windows 98およびMEの場合、通常 "C:\Windows\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows NTの場合、通常 "C:\WINNT\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows 2003(32-bit)、XP、2000(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows Vista、7、8、 8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup" です。)

感染活動

マルウェアは、ワーム活動の機能を備えていません。

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Change MSN Messenger status & modify contact list
• DDOS Flooding
• Download and execute files
• Download updated copy of itself
• Empty Recycle Bin
• Get torrent files
• List active windows
• List disk drives
• List webcams and monitor/capture video
• Log keystrokes
• Modify system's host file
• Monitor activity by Remote Desktop Protocol
• Open and close CD-ROM drive door
• Record and play sounds
• Refresh or delete logs
• Refresh Wifi
• Remote shell command
• Shutdown, Restart, Log off or Lock computer
• Start and control chat sessions
• Steal passwords
• Uninstall programs
• Upload files
• Visit arbitrary C&C servers
• It manipulates the following:
  • Browser
  • Clipboard
  • Desktop
  • Dialog Box
  • Files
  • Folders
  • Mouse clicks
  • Processes
  • Registries
  • Services
  • Shutdown button options
  • Start button
  • System clock
  • System tray
  • Taskbar
• It disables the following:
  • Antivirus notification
  • Control Panel
  • Firewall
  • LUA notification
  • Registry Tools
  • Services
  • Task Manager
  • Update notification

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• tcp://{BLOCKED}oss.ddns.net:508

ルートキット機能

マルウェアは、ルートキット機能を備えていません。

作成活動

マルウェアは、以下のファイルを作成します。このファイルは、収集した情報を保存するために利用されます。

• %User Temp%\dclogs\{Date}-{Number}.dc

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

情報漏えい

マルウェアは、以下の情報を収集します。

• Admin rights
• Computer name
• Country
• Language
• Memory usage
• OS information
• Username
• Webcam information

マルウェアは、ユーザのキー入力操作情報を記録し、情報を収集します。

その他

マルウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\DC3_FEXEC

マルウェアは、脆弱性を利用した感染活動を行いません。

<補足>
自動実行方法

マルウェアは、Windows起動時に自動実行されるよう＜User Startup＞フォルダ内に以下のファイルを作成します。

• %User Startup%\.exe → 作成された自身のコピー

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• MSNメッセンジャのステータスの変更および連絡先リストの編集
• フラッディング攻撃（分散型サービス拒否｟Distributed Denial of Service｠攻撃）
• ファイルのダウンロードおよび実行
• 更新された自身のコピーのダウンロード
• ごみ箱を空にする
• トレントファイルの入手
• アクティブなウィンドウの一覧表示
• ディスクドライブの一覧表示
• Web カメラの一覧表示およびビデオの監視/キャプチャ
• キー入力操作情報のログ記録
• システムのホストファイルの変更
• リモート・デスクトップ・プロトコルによるアクティビティの監視
• CD-ROMドライブのドアの開閉
• サウンドの録音および再生
• ログの更新または削除
• Wi-Fiのリフレッシュ
• リモートシェルコマンド
• コンピュータのシャットダウン、再起動、ログオフ、またはロック
• チャットセッションの開始および制御
• パスワードの窃取
• プログラムのアンインストール
• ファイルのアップロード
• 任意のC&Cサーバへのアクセス
• 以下のものを操作します。
  • ブラウザ
  • クリップボード
  • デスクトップ
  • ダイアログボックス
  • ファイル
  • フォルダ
  • マウスのクリック
  • プロセス
  • レジストリ
  • サービス
  • シャットダウンボタンのオプション
  • スタートボタン
  • システムクロック
  • システムトレイ
  • タスクバー
• 以下を無効にします。
  • ウイルス対策製品による通知
  • コントロールパネル
  • ファイアウォール
  • LUA通知
  • レジストリツール
  • サービス
  • タスクマネージャ
  • 更新通知

作成活動

マルウェアは、以下のファイルを作成します。このファイルは、収集した情報を保存するために利用されます。

• %User Temp%\dclogs\{日付}-{数字}.dc

情報漏えい

マルウェアは、以下の情報を収集します。

• 管理者権限
• コンピュータ名
• 国
• 言語
• メモリ使用量
• オペレーティングシステム（OS）に関する情報
• ユーザ名
• Webカメラに関する情報

---

  対応方法

ご利用はいかがでしたか？　アンケートにご協力ください