BKDR_HORST

2013年7月22日

別名:

Microsoft: Horst; Symantec: Horst; Sophos: Horst; Authentium: Horst; Bitdefender: Horst; Fortinet: Horst; Fprot: Horst; Eset: Horst; VBA32: Horst

プラットフォーム:

Windows 2000, Windows Server 2003, Windows XP (32-bit, 64-bit), Windows Vista (32-bit, 64-bit), Windows 7 (32-bit, 64-bit)

危険度:

ダメージ度:

感染力:

感染確認数:

マルウェアタイプ: トロイの木馬型
破壊活動の有無: なし
暗号化:
感染報告の有無: はい

詳細

メモリ常駐はい

ペイロード URLまたはIPアドレスに接続, ファイルのダウンロード

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

%Application Data%\ieudinit.exe
%Application Data%\sessmgr.exe
%System%\comrepl.exe
%System%\mstsc.exe
%User Temp%\cmstp.exe
%User Temp%\comrepl.exe
%User Temp%\esentutl.exe
%User Temp%\ieudinit.exe
%Windows%\esentutl.exe

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。. %System%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では "C:\Windows\System32" です。. %User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %Windows%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、"C:\Windows" です。)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
ComRepl = "%System%\comrepl.exe /com /w"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
Explorer\Run
SessMgr = "%Application Data%\sessmgr.exe /waitservice"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\policies\
Explorer\Run
ComRepl = "%User Temp%\comrepl.exe /waitservice"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
Explorer\Run
IEudinit = "%User Temp%\ieudinit.exe /waitservice"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\policies\
Explorer\Run
Esent Utl = "%Windows%\esentutl.exe /waitservice"

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を変更します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows NT\CurrentVersion\Windows
load = "%User Temp%\esentutl.exe"

(註：変更前の上記レジストリ値は、「{blank}」となります。)

HKEY_CURRENT_USER\Software\Microsoft\
Windows NT\CurrentVersion\Windows
load = "%Application Data%\ieudinit.exe"

(註：変更前の上記レジストリ値は、「{blank}」となります。)

他のシステム変更

マルウェアは、インストールの過程で、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
Explorer\Run

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\policies\
Explorer

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\policies\
Explorer\Run

その他

マルウェアは、以下の不正なWebサイトにアクセスします。

http://{BLOCKED}w.{BLOCKED}k.com/?&publicid=72b67aeb-32ba-4635-be5a-30d584ab8336&domainname={BLOCKED}.com
http://{BLOCKED}p.{BLOCKED}d.com/up/calc.bin
http://ww5.{BLOCKED}us.com/img/gt.cgi?s=2964510435&r=jcvd
http://www.{BLOCKED}um.com/img/gt.cgi?s=2964510435&r=jcce
http://www.{BLOCKED}us.com/img/gt.cgi?s=2964510435&r=jcvd