BKDR_SHOTODOR.A

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

マルウェアは、実際には不正なコードを隠ぺいする判読不能な文字列を利用します。この不正なコードは、難読化された「AutoIt」のスクリプトです。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、特定のレジストリ値を追加し、タスクマネージャを無効にします。これにより、通常はタスクマネージャを介して行うマルウェアのプロセスの終了が実行できなくなります。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

マルウェアは、Internet Explorer（IE）のゾーン設定を変更します。

マルウェアは、ユーザのキー入力操作情報を記録し、情報を収集します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %User Profile%\WXVIL\RXBWDEDJ.dat - deleted after execution; contains obfuscated AutoScript
• %User Profile%\WXVIL\762677.JUB - detected as BKDR_SHOTODOR.A
• %User Profile%\WXVIL\settings.ini - config file
• %User Profile%\WXVIL\481456.dat - encrypted file
• %User Profile%\WXVIL\328774.dat - encrypted file

(註：%User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞" です。)

マルウェアは、以下の無害なファイルを作成します。

• %User Profile%\WXVIL\GIPYL.exe - non malicious AutoIt file

(註：%User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞" です。)

マルウェアは、以下のフォルダを作成します。

• %User Profile%\WXVIL
• %Application Data%\dclogs

(註：%User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞" です。. %Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• DC_MUTEX-B2FTUQZ

マルウェアは、以下のプロセスにコードを組み込み、システムのプロセスに常駐します。

• RegSvcs.exe (v2.0.50727)
• RegSvcs.exe (v4.0.30319)
• Default Internet Browser (e.g. iexplore.exe, firefox.exe, chrome.exe)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\RunOnce
WXVIL = "%User Profile%\WXVIL\start.vbs"

マルウェアは、以下のファイルを作成します。

• %User Profile%\WXVIL\3562.vbs
• %User Profile%\WXVIL\start.cmd
• %User Profile%\WXVIL\start.vbs - runs the file "start.cmd"

(註：%User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞" です。)

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\DC3_FEXEC

マルウェアは、以下のレジストリ値を追加し、タスクマネージャを無効にします。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
System
DisableTaskMgr = "1"

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Capture video from webcam
• Change MSN Messenger & MSN contact list status
• Empty Recycle Bin
• List active windows
• Remote shell command
• Download and execute files
• Download updated copy of itself
• Upload files
• Log keystrokes
• Modify system's host file
• Record sounds
• Open and close CD-ROM drive door
• Steal passwords
• Get torrent files
• Refresh Wifi
• Uninstall programs
• Manipulate the following:
  • Browser
  • Clipboard
  • Desktop
  • Dialog Box
  • Files
  • Folders
  • Mouse clicks
  • Processes
  • Registries
  • Services
  • Shutdown button options
  • Start button
  • System clock
  • System tray
  • Taskbar

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• http://root.{BLOCKED}a.ru:3162

Webブラウザのホームページおよび検索ページの変更

マルウェアは、IEのゾーン設定を変更します。

情報漏えい

マルウェアは、以下の情報を収集します。

• Admin rights
• Computer/User name
• Language/Country
• Operating System information

マルウェアは、ユーザのキー入力操作情報を記録し、情報を収集します。

情報収集

収集した情報は、以下のファイルに保存されます。

• %Application Data%\dclogs\{Current Date}-{Number}.dc

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

その他

マルウェアが作成する以下のファイルは、暗号化されたファイルです。

• %User Profile%\WXVIL\481456.dat
• %User Profile%\WXVIL\328774.dat

マルウェアが作成する以下のファイルは、実行後削除されます。また難読化されたAutoScriptを含んでいます。

• %User Profile%\WXVIL\RXBWDEDJ.dat

マルウェアが作成する以下のファイルは、このマルウェアとして検出されます。

• %User Profile%\WXVIL\762677.JUB

マルウェアが作成する以下のファイルは、環境設定ファイルです。

• %User Profile%\WXVIL\settings.ini

マルウェアが作成する以下のファイルは、無害なAutoItのファイルです。

• %User Profile%\WXVIL\GIPYL.exe

マルウェアが作成する以下のファイルは、"start.cmd" を実行します。

• %User Profile%\WXVIL\start.vbs

マルウェアが実行するコマンドは、以下のとおりです。

• Webカメラからの動画の取得
• インスタントメッセンジャ（IM）「MSNメッセンジャー」およびMSNの連絡先リストのステータスの変更
• ごみ箱を空にする
• アクティブウインドウの表示
• リモートシェルコマンド
• ファイルのダウンロードおよび実行
• 自身のコピーの更新版のダウンロード
• ファイルのアップロード
• キー入力操作情報の収集
• コンピュータのホストファイルの変更
• 音声の録音
• CD-ROMドライブトレイの開閉
• パスワードの取得
• トレントファイルの取得
• Wi-Fiの再読み込み
• プログラムのアンインストール
• 以下の操作
• ブラウザ
• クリップボード
• デスクトップ
• ダイアログボックス
• ファイル
• フォルダ
• マウスクリック
• プロセス
• レジストリ
• サービス
• シャットダウンボタンのオプション
• スタートボタン
• システムクロック
• システムトレイ
• タスクバー

マルウェアが収集する情報は、以下のとおりです。

• 管理者権限
• コンピュータ名／ユーザ名
• 言語／国
• オペレーティングシステム（OS）の情報