BKDR_FIDOBOT.A

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

マルウェアは、管理者ページへのログインを介して、多数のWordPressのブログを「brute force attack（総当り攻撃）」するため、サイバー犯罪者によって利用されます。実行されると、マルウェアは、攻撃の対象とするWebサイトのリストおよびbrute force attackに利用するパスワードをダウンロードするコマンド＆コントロール（C&C）サーバに接続します。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{malware file name} = "%All Users Profile%\Application Data\System\{malware file name}.exe"

バックドア活動

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• http://{BLOCKED}e.puzopuzo.biz

その他

マルウェアは、以下のURLから取得したパスワードおよびユーザ名のリストを用いた「brute force attack（総当り攻撃）」によりWebサイトにアクセスします。

• http://＜省略＞e.puzopuzo.biz/cmd.php

マルウェアがこのURLにアクセスすると、自身のコマンド＆コントロール（C&C）サーバが、テキストファイルがダウンロードされる可能性のある他のURLを含むコマンドを返送します。

このコマンドは以下のフォーマットであることがあります。

• -1
• -30
• -http://＜不正なWebサイト＞/＜ファイル名＞.txt
• -480

ダウンロードされたテキストファイルは、ユーザ名とパスワードのリストを含み、「brute force attack（総当り攻撃）を仕掛けるWebサイトの認証に利用されます。

情報公開日現在、このC&Cサーバは、バックドアのリクエストに応答しません。

組み合わせに成功したユーザ名とパスワードは、以下のURLへの投稿によりC&Cサーバに送信されます。

• http://＜省略＞e.＜省略＞zo.biz/bruteres.php
• http://＜省略＞e.＜省略＞zo.biz/checkres.php

不正リモートユーザは、この確認済みの組み合わせを利用して、対象とするWebサイトを改ざんすることがあります。