BKDR_BTMINE.DDOS

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

これは、電子マネー「Bitcoin（ビットコイン）」を「マイニング（採掘）」するマルウェアの亜種です。マルウェアは、「分散型サービス拒否（DDoS）攻撃」を行うために利用されます。これにより、他のコンポーネントマルウェアが標的とする団体からビットコインを収集することが可能になります。

マルウェアは、IPアドレスのリストを含みます。マルウェアは、このリスト内のIPアドレスにアクセスすることによって、情報の送受信や他のマルウェアのダウンロード、新しいIPアドレスリストの取得、DDoS攻撃を行う攻撃先リストの取得を行います。

マルウェアは、リモートサイトから他のマルウェア、グレイウェアまたはスパイウェアにダウンロードされ、コンピュータに侵入します。 マルウェアは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。

侵入方法

マルウェアは、リモートサイトから他のマルウェア、グレイウェアまたはスパイウェアにダウンロードされ、コンピュータに侵入します。

マルウェアは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Windows%\update.7.1\svchostdriver.exe

(註：%Windows%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows9x、Me、XP、Server 2003の場合、"C:\Window"、WindowsNT および 2000の場合、"C:\WINNT" です。)

マルウェアは、以下のフォルダを作成します。

• %Windows%\update.7.1

(註：%Windows%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows9x、Me、XP、Server 2003の場合、"C:\Window"、WindowsNT および 2000の場合、"C:\WINNT" です。)

自動実行方法

マルウェアは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\ddservice
Type = "10"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\ddservice
Start = "2"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\ddservice
ErrorControl = "0"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\ddservice
ImagePath = "%Windows%\update.7.1\svchostdriver.exe srv"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\ddservice
DisplayName = "ddservice"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\ddservice
ObjectName = "LocalSystem"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\ddservice\Security
Security = "{hex values}"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\ddservice\Enum
0 = "Root\LEGACY_DDSERVICE\0000"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\ddservice\Enum
Count = "1"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\ddservice\Enum
NextInstance = "1"

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
ddsoft = "%Windows%\update.7.1\svchostdriver.exe"

マルウェアは、以下のサービスを追加し、実行します。

• HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\ddservice

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\ddsoft

マルウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\ddsoft
close = "0"

HKEY_LOCAL_MACHINE\SOFTWARE\ddsoft
ver = "2.63"

プロセスの終了

マルウェアは、感染コンピュータ上でプロセスが常駐されていることを確認した場合、以下のいずれかの文字列を含むプロセスまたはサービスを終了します。

• agava
• agava_start
• agnitum
• alwil
• avast
• avast_start
• avira
• avira_start
• comodo
• comodo_start
• doctor web
• drweb
• drweb_start
• eset
• ESET NOD32 Antivirus
• ESET Smart Security
• ESET SysInspector
• ESET SysRescue
• kaspersky
• Kaspersky Internet Security 2009
• Kaspersky Internet Security 2010
• Kaspersky Internet Security 2011
• Kaspersky Internet Security 7.0
• KAV_2008
• KAV_2009
• KAV_2010
• KAV_2011
• KAV_START
• KAV_TXT
• KAV_UNINSTALL
• KAV_URL
• mcafee
• mcafee_start
• NOD_AV_4_2
• NOD_AV_START
• NOD_SS_4_2
• NOD_SS_START
• NOD_SYSINSP
• NOD_SYSRESC
• NOD_TXT
• NOD_UNINSTALL
• norton
• norton_start
• outpost
• Outpost Firewall Pro 7.0
• outpost_start1
• outpost_start2
• virus

その他

マルウェアは、以下のWebサイトにアクセスしてインターネット接続を確認します。

• youtube.com
• blogspot.com
• baidu.com
• wikipedia.org
• live.com
• twitter.com

その他

これは、ビットコインを採掘するマルウェアの亜種です。マルウェアは、他のコンポーネントマルウェアがDDoS攻撃を行うために利用されます。これにより、他のコンポーネントマルウェアが標的とする団体からビットコインを収集することが可能になります。マルウェアは、「BKDR_BTMINE.MNR」のパッケージと共にコンピュータに侵入します。

マルウェアは、IPアドレスのリストを含みます。マルウェアは、このリスト内のIPアドレスにアクセスすることによって、情報の送受信や他のマルウェアのダウンロード、新しいIPアドレスリストの取得、DDoS攻撃を行う攻撃先リストの取得を行います。マルウェアは、以下の形式を利用してURLを生成します。

• http://＜IPアドレス＞/search=error
• http://＜IPアドレス＞/search=ddos_http_list.txt
• http://＜IPアドレス＞/search=ddos_http_list
• http://＜IPアドレス＞/dd/knock.php?sid=＜値＞&ver=＜マルウェアのバージョン＞

以下は、マルウェアがアクセスするIPアドレスの一部です。

• ＜省略＞9.＜省略＞8.234.115
• ＜省略＞8.＜省略＞0.154.168
• ＜省略＞4.＜省略＞2.98.224
• ＜省略＞8.＜省略＞0.136.171
• ＜省略＞5.＜省略＞7.122.106
• ＜省略＞2.＜省略＞7.24.44
• ＜省略＞1.＜省略＞2.131.162
• ＜省略＞5.＜省略＞0.13.140
• ＜省略＞6.＜省略＞7.34.157
• ＜省略＞8.＜省略＞4.64.153