BKDR_OBFUSCA.DCB

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。 マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。

マルウェアは、作成されたファイルを実行します。

マルウェアは、仮想環境内で実行されると、自身の活動を終了します。 マルウェアは、実行後、自身を削除します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

• %User Startup%\Trend_Updater.exe

(註： %User Startup%フォルダは、通常、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup" 、Windows NTの場合、"C:\WINNT\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup"、Windows 2000、XP、Server 2003の場合、"C:\Documents and Settings\＜ユーザ名＞\Start Menu\Programs\Startup " です。)

マルウェアは、以下のファイルを作成します。

• %User Temp%\svchost.exe - also detected as BKDR_OBFUSCA.DCB
• %User Temp%\ctfmon.exe - also detected as BKDR_OBFUSCA.DCB

(註：%User Temp%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\Temp"、Windows NT の場合、"C:\Profiles\＜ユーザー名＞\TEMP"、Windows 2000、XP、Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\TEMP" です。)

マルウェアは、以下の無害なファイルを作成します。

• %User Temp%\autoexec.bat
• {malware path}\デスクトップ\特典お客様控え\ｅチケットお客様控.doc

(註：%User Temp%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\Temp"、Windows NT の場合、"C:\Profiles\＜ユーザー名＞\TEMP"、Windows 2000、XP、Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\TEMP" です。)

マルウェアは、以下のフォルダを作成します。

• {malware path}\デスクトップ\特典お客様控え

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\MIcrosoft\
Windows\CurrentVersion\Run
Trend Updater = "{malware path and file name}"

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Delete the file %System Root%\ntldr
• Execute command shell
• Get system and network information by performing the following commands via command-line:
  
  • arp -a
  • dir ""%Program Files""
  • dir ""%SystemDrive%\"" /s /a
  • ipconfig/all
  • net start
  • net use
  • net user
  • net view
  • net view /domain
  • netstat -ano
  • route print
  • set
  • systeminfo
  • tasklist /m
• Get cookies for the following URLs:
  
  • http://gmail.com
  • http://hotmail.co.jp
  • http://hotmail.com
  • http://jcom.home.ne.jp
  • http://mail.yahoo.co.jp
  • http://nifty.com
• Log keystrokes
• Shut down affected system
• Terminate processes

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• registrations.{BLOCKED}er.org

作成活動

マルウェアは、以下のファイルを作成します。このファイルは、キー入力操作情報を収集するために利用されます。

• %User Temp%\desktop.tmp

(註：%User Temp%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\Temp"、Windows NT の場合、"C:\Profiles\＜ユーザー名＞\TEMP"、Windows 2000、XP、Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\TEMP" です。)

マルウェアは、作成されたファイルを実行します。

その他

マルウェアは、仮想環境内で実行されると、自身の活動を終了します。

マルウェアは、実行後、自身を削除します。