BKDR_DOKSTORMC.A

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

マルウェアは、「Arcom」という「Remote Access Tool（RAT）」として知られています。マルウェアは、偽の津波警報ビデオからダウンロードされるファイルとしてコンピュータに侵入します。

この事例に関する情報は、英語ブログ「Tsunami Warning Leads to Arcom RAT」をご参照ください。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

ただし、情報公開日現在、このWebサイトにはアクセスできません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %Application Data%\Imvu\asl.avf
• %Application Data%\Imvu\logs\{Date of Execution}.arl

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Application Data%\Imvu\Imvu.exe

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

マルウェアは、以下のフォルダを作成します。

• %Application Data%\Imvu
• %Application Data%\Imvu\logs
• %Application Data%\Imvu\IML

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• qawsed
• ujyhtg
• rftgyh
• yhujik

マルウェアは、以下のプロセスに自身を組み込み、システムのプロセスに常駐します。

• iexplore.exe
• notepad.exe

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Skype = "%Application Data%\Imvu\Imvu.exe"

他のシステム変更

マルウェアは、インストールの過程で、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Skype
ID = "{random values}"

HKEY_CURRENT_USER\Software\Skype
PX = "{random number}"

バックドア活動

マルウェアは、以下のポートを開き、リモートコマンドを待機します。

• TCP Port 8888

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Check for internet connection
• Visit a website
• Download other files
• Execute remote shell
• List open processes
• Terminate processes
• Create processes
• Shutdown computer
• Copy file
• Delete file
• Execute file
• Access TeamViewer if found
• Get Logical Drives information
• Delete registry keys
• Log keystrokes
• End backdoor connection

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• {BLOCKED}s117.no-ip.org:1888

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスして自身のコンポーネントファイルをダウンロードします。

• www.{BLOCKED}e.com/file.avf

ただし、情報公開日現在、このWebサイトにはアクセスできません。

その他

マルウェアが実行するコマンドは以下のとおりです。

• インターネット接続の確認
• Webサイトへアクセス
• 他のファイルのダウンロード
• リモートシェルの実行
• 起動中のプロセスの表示
• プロセスの終了
• プロセスの作成
• コンピュータのシャットダウン
• ファイルのコピー
• ファイルの削除
• ファイルの実行
• 確認した "TeamViewer" へのアクセス
• 論理ドライブに関する情報の取得
• レジストリキーの削除
• キー入力操作情報の記録
• バックドア接続の終了