BKDR_EXDEPH.A

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

マルウェアは、リビアの元最高指導者カダフィ大佐が死亡した様子を撮影した画像を閲覧するよう促すスパムメールに関連しています。

マルウェアは、実行されると、特定の画像ファイル（拡張子JPG）を作成し、開きます。これによって、実行されたファイルが正規のものであるようにユーザに思わせ、自身の実行を隠ぺいします。マルウェアによって作成される画像ファイルは、カダフィ大佐の画像を含んでいます。

マルウェアは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。

マルウェアは、Internet Explorer（IE）のウィンドウを非表示で開きます。 ただし、情報公開日現在、このWebサイトにはアクセスできません。

侵入方法

マルウェアは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。

インストール

マルウェアは、以下のコンポーネントファイルを作成します。

• %User Temp%\explorer.exe - also detected as BKDR_EXDEPH.A
• %Program Files%\WindowsUpdate\winupdate.exe.exe - also detected as BKDR_EXDEPH.A

(註：%User Temp%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\Temp"、Windows NT の場合、"C:\Profiles\＜ユーザー名＞\TEMP"、Windows 2000、XP、Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\TEMP" です。. %Program Files%は、標準設定では "C:\Program Files" です。)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
update = "{Malware Path and File Name}"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
WindowsUpdate = "%Program Files%\WindowsUpdate\winupdate.exe.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Active Setup\Installed Components\{L2YPI760-53VH-1121-351O-EL7076Y0V6C2}
StubPath = "%Program Files%\WindowsUpdate\winupdate.exe.exe Restart"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
update = "{Malware Path and File Name}"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
WindowsUpdate = "%Program Files%\WindowsUpdate\winupdate.exe.exe"

他のシステム変更

マルウェアは、インストールの過程で、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\$GADAHFI$
FirstExecution = "{HEX Values}"

HKEY_CURRENT_USER\Software\$GADAHFI$
FileName = "{HEX Values}"

HKEY_CURRENT_USER\Software\$GADAHFI$
HKLM = "{HEX Values}"

HKEY_CURRENT_USER\Software\$GADAHFI$
HKCU = "{HEX Values}"

HKEY_CURRENT_USER\Software\Cerberus
StartPersist = "{HEX Values}"

バックドア活動

マルウェアは、以下のポートを開き、リモートコマンドを待機します。

• TCP 8521

マルウェアは、IEのウィンドウを非表示で開きます。

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• {BLOCKED}ne.{BLOCKED}pto.org

ただし、情報公開日現在、このWebサイトにはアクセスできません。

その他

マルウェアは、実行されると、以下の画像ファイル（拡張子JPG）を作成し、開きます。これによって、実行されたファイルが正規のものであるようにユーザに思わせ、自身の実行を隠ぺいします。

• %System Root%\Gaddafi.jpg

マルウェアによって作成される画像ファイルは、以下のカダフィ大佐の画像を含んでいます。