BKDR_GATAKA.A

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

マルウェアは、リモートサーバからプラグインをダウンロードおよびインストールする機能を備えています。この機能により、マルウェアによる攻撃において、自身により柔軟性を持たせることが可能となります。感染したユーザは、コンピュータのセキュリティが侵害されることにより、個人情報を収集される可能性があります。

マルウェアは、システム情報の収集および任意のコマンドや他のアプリケーションのリモートでの実行をします。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。 ただし、情報公開日現在、このWebサイトにはアクセスできません。

マルウェアは、Internet Explorer（IE）のウィンドウを非表示で開きます。 マルウェア マルウェアは、自身（コンピュータに侵入して最初に自身のコピーを作成した マルウェア ）を削除します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Application Data%\{folder name 1}\{CLSID 1}\{malware file name}.exe

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

マルウェアは、以下のコンポーネントファイルを作成します。

• %Application Data%\{folder name 2}\{CSLID 2}\{random hex}.dat - non-malicious file

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

マルウェアは、以下のフォルダを作成します。

• %Application Data%\{folder name 1}\{CLSID 1}
• %Application Data%\{folder name 2}\{CSLID 2}

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

マルウェアは、以下のプロセスにコードを組み込みます。

• explorer.exe

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{malware file name} = "%Application Data%\{folder name 1}\{CLSID 1}\{malware file name}.exe"

他のシステム変更

マルウェアは、インストールの過程で、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
StartProcIrq = "dword:0000000c"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
StartPage
CustomBarMenu = "{encrypted location of {random hex}.dat}"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
StartCurrId = "dword:00000009"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
StartCurrMask = "dword:0000003e"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
StartMainId = "dword:0000000a"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
StartMainMask = "dword:0000007e"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
PersistFile = "dword:00000003"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
PersistFolder = "dword:00000002"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
StartMenuMask = "dword:00015be1"

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Collect System Information
• Browse Files and Folders
• Connect to Server
• Get AutoRun FilePath
• Get AutoRun ValueName
• Get Bot Id
• Download and Install plugins/modules
• Open Browser
• Perform remote shell
• Download and execute arbitrary files
• Set AutoRun Value
• Start As Client
• Start As Server
• Stop Client
• Stop Server
• Terminate itself

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• {BLOCKED}-summer.hu/ip.php
• {BLOCKED}ly.com/ip.php
• dns.{BLOCKED}g.cc/mak/g.php
• {BLOCKED}rve.name/mak/g.php

ただし、情報公開日現在、このWebサイトにはアクセスできません。

情報漏えい

マルウェアは、Webブラウザに自身を組み込み、ユーザが以下の検索エンジンで行う検索を監視します。

• iexplore.exe
• maxthon.exe
• opera.exe
• firefox.exe
• sol.exe

その他

マルウェアは、IEのウィンドウを非表示で開きます。

マルウェア は、自身（コンピュータに侵入して最初に自身のコピーを作成した マルウェア ）を削除します。

マルウェアが実行するコマンドは以下のとおりです。

• システム情報の収集
• ファイルやフォルダの閲覧
• サーバへの接続
• 自動実行レジストリのファイルパスの取得
• 自動実行レジストリのバリュー名の取得
• Bot IDの取得
• プラグイン／モジュールのダウンロードおよびインストール
• ブラウザを開く
• リモートシェルの実行
• 任意のファイルのダウンロードおよび実行
• 自動実行レジストリの値の設定
• クライアントとして起動
• サーバとして起動
• クライアントの停止
• サーバの停止
• 自身の終了

「{folder name}」および「{malware file name}」は以下のいずれかとなる可能性があります。

• Adobe
• Apple
• Dropbox
• Google
• Google Inc
• Identities
• LicenseValidator
• Macromedia
• Media Center Programs
• Media Player Classic
• Microsoft
• Microsoft Corporation
• Mozilla
• NtCoreDefender
• NtGarbageCollector
• Opera
• RdcRpcController
• renovator
• RpcLowAccessPipe
• RpcLowReader
• RpcNtComm
• RpcScheduler
• RpcSearchIndexer
• RpcWin32Router
• RpcWin32Service
• SearchHelper
• Skype
• TeamViewer
• Upgrade
• UpgradeChecker
• UpgradeHelper
• Validator
• Win16Communicator
• Win32Defender
• Win32GlobalFinder
• Win32RpcAccessCtrl
• Win32RpcDecrypt
• Win32Scheduler
• Win32UserFinder
• Win64Expected
• Win64GarbageCollector
• Windows Desktop Search
• Windows Search
• WindowsRpcAccess
• WinRAR