BKDR_DATPER.A

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。 マルウェアは、リモートサイトから他のマルウェア、グレイウェアまたはスパイウェアにダウンロードされ、コンピュータに侵入します。

マルウェアは、ワーム活動の機能を備えていません。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

マルウェアは、Internet Explorer（IE）のゾーン設定を変更します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、リモートサイトから他のマルウェア、グレイウェアまたはスパイウェアにダウンロードされ、コンピュータに侵入します。

インストール

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• d4fy3ykdk2ddssr

感染活動

マルウェアは、ワーム活動の機能を備えていません。

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Report gathered information:
  • System Language
  • Computer Name
  • OS Version
  • Host Name
  • Arbitrary List of Files
  • Available Drives and their types
• Create/Terminate Arbitrary Processes
• Create/Delete Arbitrary Files
• Download/Upload arbitrary files from/to the C&C server
• Allocate console to process
  • Console name: ndkkwqgcm
• Terminate Self

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• http://{BLOCKED}le.com/im/images/index.php?random string}={hardcoded string 1}{hardcoded string 2}{type identifier byte: "1"=recv, "2"=send}{random string or encrypted user data}

Webブラウザのホームページおよび検索ページの変更

マルウェアは、IEのゾーン設定を変更します。

その他

マルウェアが実行する不正リモートユーザからのコマンドは以下のとおりです。

• 収集した情報の報告
  • システム言語
  • コンピュータ名
  • オペレーティングシステム（OS）のバージョン
  • ホスト名
  • 任意のファイルリスト
  • 利用可能なドライブとその種類
• 任意のプロセスの作成および終了
• 任意のファイルの作成および削除
• C&Cサーバから感染コンピュータへ任意のファイルのダウンロード、および感染コンピュータからC&Cサーバへ任意のファイルのアップロード
• プロセスへのコンソールの割り当て
  • コンソール名：ndkkwqgcm
• 自身の終了

マルウェアは、午前9時から午後5時の間で不正活動を行います。

マルウェアは、ルートキット機能を備えていません。

マルウェアは、脆弱性を利用した感染活動を行いません。