BKDR_BLOHI.B

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

マルウェアは、特定の韓国のゲームのスクリーンショットを監視および取得します。また、マルウェアは、偽のブルースクリーンを表示する機能を備えています。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

マルウェアは、感染コンピュータから特定の情報を収集します。 マルウェアは、収集した情報をリモートサイトに送信します。

ただし、情報公開日現在、このWebサイトにはアクセスできません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Run
{random string} = "{Malware Path and File Name}"

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Policies\
Explorer\Run
{random string} = "{Malware Path and File Name}"

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\System\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile
DoNotAllowExceptions = "0"

マルウェアは、以下のレジストリ値を作成し、Windowsのファイアウォールを回避します。

HKEY_LOCAL_MACHINE\System\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\AuthorizedApplications\
List
{Malware Path and File Name} = "{Malware Path and File Name}:*:Enabled:Microsoft (R) Internetal IExplore"

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Download and execute arbitrary files
• Display Fake BSOD
• Capture screenshots of certain games
• Log Keystrokes
• Disable Mouse
• Shutdown computer

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスし、ファイルをダウンロードします。

• http://{BLOCKED}update.{BLOCKED}y.com/attachment/cfile7.uf@197407484F516F1829F7A5.ocx
• http://{BLOCKED}7.uf.{BLOCKED}y.com/attach/197407484F516F1829F7A5

情報漏えい

マルウェアは、感染コンピュータから以下の情報を収集します。

• Installed AntiVirus Products (CompanyName, DisplayName, Version Number)
• System Information (Computer Name, Processor Information, Physical Memory)

マルウェアは、収集した情報をリモートサイトに送信します。

その他

マルウェアは、以下のWebサイトにアクセスしてインターネット接続を確認します。

• http://{BLOCKED}g.{BLOCKED}r.com/PostView.nhn?blogId=windowupdate&logNo={number}&parentCategoryNo=1&viewDate=¤tPage=1&listtype=0&userTopListOpen=false&userTopListCount=5&userTopListManageOpen=false&userTopListCurrentPage=undefined

ただし、情報公開日現在、このWebサイトにはアクセスできません。

マルウェアは、以下のゲームを監視します。

• Baduki
• DuelPoker
• Highlow2
• HOOLA3
• LASPOKER
• Poker7

マルウェアは、以下のレジストリキーに問い合わせることにより仮想環境で自身を実行しているかを確認します。

• HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Disk\Enum

マルウェアは、任意のレジストリ上の以下の文字列の存在を確認します。

• VBOX
• Virtual
• VMware

マルウェアは、以下のレジストリキーに問い合わせ、プロセッサの情報を取得します。

• HKEY_LOCAL_MACHINE\HARDWARE\DESCRIPTION\System\CentralProcessor\0\~MHz

マルウェアが実行するコマンドは、以下のとおりです。

• 任意のファイルのダウンロードおよび実行
• 偽のブルースクリーンを表示
• 特定のゲームのスクリーンショットの取得
• キー入力操作情報の記録
• マウスの無効化
• コンピュータのシャットダウン

マルウェアが収集する情報は、以下のとおりです。

• インストールされたセキュリティソフト（企業名、表示名、バージョン）
• システム情報（コンピュータ名、プロセッサ情報、物理メモリ）