BKDR_FAKEMS.TRWS

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、レジストリキーおよびレジストリ値を追加し、セーフモード状態でも自身が実行されるようにします。これにより、感染コンピュータ上でこのマルウェアが削除されるのを避けます。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

• %Application Data%\WindowsUpdate.exe
• %Application Data%\Microsoft\atiesrx.exe
• %User Profile%\Templates\takshost.exe
• %Application Data%\Windows Update.exe

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.. %User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞" です。.)

マルウェアは、以下のファイルを作成します。

• %Application Data%\pid.txt
• %Application Data%\pidloc.txt
• %User Temp%\SysInfo.txt

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.. %User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

マルウェアは、以下のファイルを作成し実行します。

• %Application Data%\Microsoft\IpOverUsbSvrc.exe - detected as TROJ_EYELOAD.A

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Windows Update = "%Application Data%\WindowsUpdate.exe"

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\Software\Microsoft\
ESENT\Process\atiesrx

HKEY_LOCAL_MACHINE\Software\Microsoft\
ESENT\Process\atiesrx\
DEBUG

HKEY_LOCAL_MACHINE\Software\Microsoft\
ESENT\Process\takshost

HKEY_LOCAL_MACHINE\Software\Microsoft\
ESENT\Process\takshost\
DEBUG

HKEY_LOCAL_MACHINE\Software\Microsoft\
ESENT\Process\Windows Update

HKEY_LOCAL_MACHINE\Software\Microsoft\
ESENT\Process\Windows Update\
DEBUG

HKEY_LOCare\Microsoft\ESENT\
Process\{malwAL_MACHINE\Software file name}

HKEY_LOCAL_MACHINE\Software\Microsoft\
ESENT\Process\{malware file name}\
DEBUG

マルウェアは、以下のレジストリキーおよびレジストリ値を追加し、セーフモード状態でも自身が実行されるようにします。

HKEY_LOCAL_MACHINE\Software\Microsoft\
ESENT\Process\atiesrx\
DEBUG
Trace Level = ""

HKEY_LOCAL_MACHINE\Software\Microsoft\
ESENT\Process\{malware file name}\
DEBUG
Trace Level = ""

HKEY_LOCAL_MACHINE\Software\Microsoft\
ESENT\Process\takshost\
DEBUG
Trace Level = ""

HKEY_LOCAL_MACHINE\Software\Microsoft\
ESENT\Process\Windows Update\
DEBUG
Trace Level = ""

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Get clipboard data
• Login credentials on web browsers and email servers
• Visit/Block Website
• Download file
• Activate keylogging

情報漏えい

マルウェアは、以下の情報を収集します。

• Browser cookies
• POP3, IMAP, HTTPMail, SMTP, FTP, NNTP Passwords
• System information

マルウェアは、保存されている以下のEメール認証情報を収集します。

• Eudora
• Outlook Express
• IncrediMail
• Group mail Free
• MS Outlook
• Gmail
• Hotmail/MSN
• Yahoo! Mail
• Netscape Mail
• Thunderbird
• Google Desktop
• Windows Mail
• Windows Live Mail

マルウェアは、以下のブラウザから、ユーザ名、パスワードやホスト名といった保存された情報を収集します。

• Safari
• Internet Explorer
• Mozilla Firefox
• Google Chrome
• Opera
• Sea Monkey
• Thunderbird
• Netscape

情報収集

マルウェアは、SMTPを用いて、自身が収集した情報を以下のEメールアドレスに送信します。

• {BLOCKED}n@{BLOCKED}a.org.ph

その他

マルウェアは、以下のWebサイトにアクセスしてインターネット接続を確認します。

• www.msn.com

マルウェアは、以下のWebサイトにアクセスして感染コンピュータのIPアドレスを収集します。

• http://whatismyipaddress.com