BKDR_SEDNIT.AE

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %Program Files%\Internet Explorer\netidt.dll - detected as BKDR_SEDNIT.AE (for Windows XP and Below)
• %Application Data%\netids.dll - detected as BKDR_SEDNIT.AE (for Windows Vista and Above)

(註：%Program Files%フォルダは、Windows 2000、Server 2003、XP (32ビット)、通常 Vista (32ビット) および 7 (32ビット) の場合、通常 "C:\Program Files"、Windows XP (64ビット)、Vista (64ビット) および 7 (64ビット) の場合、通常 "C:\Program Files (x86)" です。. %Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• downloads and execute possibly malicious files

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• http://{BLOCKED}.{BLOCKED}.221.10/~alex/cgi-bin/sptr.cgi
• http://{BLOCKED}.{BLOCKED}.221.10/~alex/cgi-bin/qfa.cgi
• http://{BLOCKED}.{BLOCKED}.221.10/~alex/cgi-bin/mpk.cgi
• http://{BLOCKED}.{BLOCKED}.221.10/~alex/cgi-bin/brvc.cgi

その他

マルウェアは、侵入したコンピュータのオペレーティングシステム（OS）がWindows Vistaまたはそれ以降のバージョンであった場合、Windows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
NetIDS = "RUNDLL32.EXE "%Application Data%\netids.dll",Init1"

マルウェアは、侵入したコンピュータのOSがWindows XPまたはそれ以前のバージョンであった場合、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Network Identification Service
Type = "110"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Network Identification Service
Start = "2"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Network Identification Service
ErrorControl = "1"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Network Identification Service
ImagePath = "%system%\svchost.exe -k ntsvcs"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Network Identification Service
DisplayName = "Network Identification Service"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Network Identification Service\parameters
ServiceDll = %Program Files%\Internet Explorer\netidt.dll

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Network Identification Service
ServiceDllUnloadOnStop = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\SvcHost
ntsvcs = "Network Identification Service"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\SvcHost\
ntsvcs
CoInitializeSecurityParam = "1"

マルウェアは、侵入したコンピュータのOSがWindows XPまたはそれ以前のバージョンであった場合、インストールの過程で以下のレジストリ値を追加します。

HKEY_CLASSES_ROOT\CLSID\{0B115951-84FD-43E7-A2D8-F3C4D36F4BEA}\
InProcServer32
Default = "%Program Files%\Internet Explorer\netidt.dll"

マルウェアは、リモートサーバへ接続すると、HTTPポストを介して以下の情報を送信します。

• コンピュータ名
• ボリュームシリアル番号
• OSの情報

マルウェアが作成する以下のファイルは、このマルウェアとして検出されます。

• %Program Files%\Internet Explorer\netidt.dll （Windows XPまたはそれ以前のバージョンの場合）
• %Application Data%\netids.dll（Windows Vistaまたはそれ以降のバージョンの場合）

マルウェアが実行するコマンドは、以下のとおりです。

• 不正なファイルのダウンロードおよび実行