BKDR_MORIX.WRG

マルウェアは、リモートサイトから他のマルウェアまたはグレイウェアにダウンロードされ、コンピュータに侵入します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。 マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。

マルウェアは、感染コンピュータ上の特定の情報を収集します。

侵入方法

マルウェアは、リモートサイトから以下のマルウェアまたはグレイウェアにダウンロードされ、コンピュータに侵入します。

• JS_LOADER.WRG

マルウェアは、以下のリモートサイトからダウンロードされ、コンピュータに侵入します。

• http://{BLOCKED}.{BLOCKED}.205.102:8888/cx.exe

インストール

マルウェアは、以下のコンポーネントファイルを作成します。

• %Program Files%\Common Files\System\seext.dll - also detected as BKDR_MORIX.WRG
• %Program Files%\Windows NT\appgmts.dll - also detected as BKDR_MORIX.WRG
• %System%\wbem\seext.dll - also detected as BKDR_MORIX.WRG
• D:\seext.dll - also detected as BKDR_MORIX.WRG

(註：%Program Files%は、標準設定では "C:\Program Files" です。. %System%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\System"、Windows NT および 2000 の場合、"C:\WinNT\System32"、Windows XP および Server 2003 の場合、"C:\Windows\System32" です。)

マルウェアは、以下の無害なファイルを作成します。

• D:\Setup.exe - legitimate 360 Secure Browser component
• %Program Files%\Common Files\System\SPOOLS.EXE - legitimate 360 Secure Browser component

(註：%Program Files%は、標準設定では "C:\Program Files" です。)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\policies\
Explorer\Run
@ = "%Program Files%\Common Files\System\SPOOLS.EXE"

他のシステム変更

マルウェアは、以下のファイルを削除します。

• %System Root%\ntldr.sys

(註：%System Root%は、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。)

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Log keystrokes
• Modify system settings
• Download and execute file(s)
• Query/modify Terminal Server settings
• Capture video

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• aaaai.{BLOCKED}p.net

プロセスの終了

マルウェアは、感染コンピュータ上でプロセスが常駐されていることを確認した場合、以下のいずれかの文字列を含むプロセスまたはサービスを終了します。

• F-Secure
• ALYac
• Bit-Defend
• AVG
• Avast
• NOD32

情報漏えい

マルウェアは、感染コンピュータ上の以下の情報を収集します。

• Computer name
• Processor speed (in MHz)
• Operating system version
• Number of processors
• Total amount of memory (in MB)