BKDR_ZACCESS.NTW

マルウェアは、リモートサイトから他のマルウェアまたはグレイウェアにダウンロードされ、コンピュータに侵入します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。 マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

マルウェアは、リモートサイトから以下のマルウェアまたはグレイウェアにダウンロードされ、コンピュータに侵入します。

• JAVA_EXPLOYT.NTW

インストール

マルウェアは、以下のコンポーネントファイルを作成します。

• %User Temp%\msimg32.dll - detected as BKDR_ZACESS.SMQQ

(註：%User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

マルウェアは、以下の無害なファイルを作成します。

• %User Temp%\InstallFlashPlayer.exe

(註：%User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

マルウェアのDLLコンポーネントは、以下のプロセスに組み込まれます。

• explorer.exe
• svchost.exe

マルウェアは、以下のフォルダを作成します。

• %Application Data%\{GUID}\L
• %Application Data%\{GUID}\U
• %Windows%\Installer\{GUID}\L
• %Windows%\Installer\{GUID}\U

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。. %Windows%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、"C:\Windows" です。)

他のシステム変更

マルウェアは、以下のレジストリキーを削除します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\BITS

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\iphlpsvc

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\MpsSvc

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\SharedAccess

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\WinDefend

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\wscsvc

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\wuauserv

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Run\
Windows Defender

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Download and execute arbitrary files
• Get drive information

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• http://j.{BLOCKED}d.com/app/geoip.js

プロセスの終了

マルウェアは、感染コンピュータ上でプロセスが常駐されていることを確認した場合、以下のいずれかの文字列を含むプロセスまたはサービスを終了します。

• wscntfy.exe
• MSASCui.exe
• MpCmdRun.exe
• NisSrv.exe
• msseces.exe
• SharedAccess
• windefend
• MsMpSvc
• iphlpsvc
• wscsvc
• mpssvc

その他

マルウェアは、"%System%\services.exe" をパッチし、オリジナルのコピーを "%System%\Winsxs\Backup\services.exe" で保存します。

• パッチされた64bit版 %System%\services.exe - 「PTCH64_ZACCESS.A」として検出
• パッチされたWindows 7の32bit版 %System%\services.exe - 「PTCH_ZACCESS.A」として検出

マルウェアは、以下のWebサイトにアクセスし、「ペイ･パー･インストール（PPI)」のリンクのクリックを装います。

• www.＜省略＞reecounters.com/5699002-2F6F334BF9ACF1B2401D3874A5B0C048/counter.img?theme=＜ランダムな値＞&digits=10&siteId=＜サイトのID＞