BKDR_AFCORE
Afcore, Coreflood, Kunhitta, Tirnod
Windows 2000, Windows Server 2003, Windows XP (32-bit, 64-bit), Windows Vista (32-bit, 64-bit), Windows 7 (32-bit, 64-bit)
- マルウェアタイプ: バックドア型
- 破壊活動の有無: なし
- 暗号化:
- 感染報告の有無: はい
詳細
他のシステム変更
マルウェアは、インストールの過程で、以下のレジストリ値を追加します。
HKEY_CLASSES_ROOT\CLSID\{CLSID}
@ = "{random}"
HKEY_CLASSES_ROOT\CLSID\{CLSID}\
InprocServer32
@ = "%System%\{random}.ocx"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{CLSID}
@ = "{random}"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{CLSID}\InprocServer32
@ = "%System%\{random}.ocx"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Explorer\
ShellIconOverlayIdentifiers\{random}
@ = "{CLSID}"
マルウェアは、インストールの過程で、以下のレジストリキーを追加します。
HKEY_CLASSES_ROOT\CLSID\{CLSID}
HKEY_CLASSES_ROOT\CLSID\{CLSID}\
InprocServer32
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{CLSID}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{CLSID}\InprocServer32
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Explorer\
ShellIconOverlayIdentifiers\{random}
作成活動
マルウェアは、以下のファイルを作成します。
- %System%\{random}.dat
- %System%\{random1}.dat
- %System%\{random2}.dat
- %System%\{random3}.dat
- %System%\{random}.ocx
- %User Temp%\{random}.dll
- %User Temp%\{random}.tmp
(註:%System%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では "C:\Windows\System32" です。. %User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\<ユーザー名>\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\<ユーザ名>\AppData\Local\Temp" です。)