BKDR_BLYPT.A

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

マルウェアは、「BLYPT」ファミリの亜種です。マルウェアは、「バイナリ・ラージ・オブジェクト（BLOB）」を利用し感染コンピュータのレジストリ内に情報を保存します。また、マルウェアは暗号化を利用します。このマルウェアに感染したコンピュータは、セキュリティの侵害に見舞われる可能性があります。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

他のシステム変更

マルウェアは、インストールの過程で、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
SystemCertificates\CA\Certificates\
5A82739996ED9EBA18F1BBCDCCA62D2C1D670C
Blob = "{Encrypted configuration data}"

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Download and execute the main backdoor component

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• {BLOCKED}lution134.org:80
• {BLOCKED}.{BLOCKED}.162.47:81
• {BLOCKED}.{BLOCKED}.162.45:81
• {BLOCKED}.{BLOCKED}.181.50:81
• {BLOCKED}.{BLOCKED}.186.14:778
• {BLOCKED}.{BLOCKED}.186.9:777
• {BLOCKED}.{BLOCKED}.186.27:777
• {BLOCKED}.{BLOCKED}.121.141:777
• {BLOCKED}.{BLOCKED}.97.02:777
• {BLOCKED}.{BLOCKED}.186.47:81
• {BLOCKED}.{BLOCKED}.186.45:81

ダウンロード活動

マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %Application Data%\Microsoft\Crypto\NTCRYPT{variable}.TPL
• %Application Data%\Microsoft\Crypto\CERTV{variable}.TPL

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

トレンドマイクロの製品では、ダウンロードしたファイルを以下として検出します。

• BKDR_BLYPT.B
• BKDR64_BLYPT.B
• BKDR_BLYPT.SM

その他

マルウェアが実行するコマンドは、以下のとおりです。

• メインとなるバックドアコンポーネントのダウンロードおよび実行