BKDR_TENGO.A

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。 マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %WINDOWS%\$NtUninstallKB080515$\Usblog_DXM.log

マルウェアは、以下のフォルダを作成します。

• %WINDOWS%\$NtUninstallKB080515$

他のシステム変更

マルウェアは、以下のファイルを削除します。

• {Malware Path}\msvidc161.dll
• %System%\winmm16.dll

(註：%System%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では "C:\Windows\System32" です。)

マルウェアは、以下のレジストリ値を追加します。

HKEY_CLASSES_ROOT\exefile
NeverShowExt = "0"

マルウェアは、以下のレジストリ値を変更します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
Hidden = "0"

(註：変更前の上記レジストリ値は、「1」となります。)

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
HideFileExt = "1"

(註：変更前の上記レジストリ値は、「0」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced\Folder\Hidden\
SHOWALL
CheckValue = "0"

(註：変更前の上記レジストリ値は、「1」となります。)

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Get Malware Information
• Update Itself
• Update C&C servers/IP Information
• Perform sleep command
• File Manipulation (View added files, Rename, Delete, Check filetype, Modify, Change attiributes, Change filetime, Copy)
• Directory Manipulation (Change Current, Add, View directories)
• Reboot and Disconnect
• Perform shell command
• View System Informations (Mac Address, Computer Name, Wan/Local IP, Disk Information, Display Mode, CPU Information, Path of System Directory, OS Inofrmation, Drive Information, Malware Uptime)
• Load other modules
• Execute a program (with option as Administrator)
• List IPs
• List/Disconnect TCP Connections
• List/Kill Processes
• Download File
• Upload File
• Enumerate/Install Services
• Load keylogging module (mskb32.dll)

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• {BLOCKED}.{BLOCKED}.204.62
• {BLOCKED}.{BLOCKED}.102.244
• {BLOCKED}.{BLOCKED}.103.42
• {BLOCKED}.{BLOCKED}.10.239
• {BLOCKED}.{BLOCKED}.145.118
• {BLOCKED}i89.{BLOCKED}s.info
• http://{BLOCKED}02.{BLOCKED}z.info/dxj

その他

マルウェアは、ファイル "%System%\winmm.dll" のファイル名を "%System%\winmm16.dll" に変更します。そして以下として自身のコピーを作成します。

• %System%\winmm.dll

またマルウェアは、ファイル "%System%\winmm.DLL" のファイル名を "%System%\winmm16.DLL" に変更します。そして以下として自身のコピーを作成します。

• %System%\winmm.DLL

マルウェアは、コンピュータに挿入されたリムーバブルドライブから、以下のフォーマットを持つファイルをコピーします。

• .doc
• .pdf
• .tif
• .xls
• .ppt

コピーしたファイルは、フォルダ "%SystemRoot%\$NtUninstallKB080515$" に保存されます。このファイルは、その後リモートコマンドによって取得されます。

マルウェアは実行するコマンドは、以下のとおりです。

• マルウェアに関する情報の取得
• 自身の更新
• コマンド＆コントロール（C&C）サーバ／IPアドレスに関する情報の更新
• スリープコマンドの実行
• ファイルの操作（追加されたファイルの閲覧、ファイルの改称、ファイルの削除、ファイルタイプの確認、ファイルの変更、属性の変更、ファイルのタイムスタンプの変更、ファイルのコピー）
• ディレクトリの操作（カレントの変更、ディレクトリの追加、ディレクトリの閲覧）
• 再起動および停止
• シェルコマンドの実行
• コンピュータに関する情報の閲覧（Macアドレス、コンピュータ名、WAN IPまたはローカルのIP、ディスクの情報、表示モード、CPU情報、システムディレクトリのパス、オペレーティングシステム（OS）の情報、ドライブの情報、マルウェアの稼働時間）
• 他のモジュールの読み込み
• プログラムの実行（管理者として選択した場合）
• IPの表示
• TCP接続の表示／停止
• プロセスの表示／終了
• ファイルのダウンロード
• ファイルの更新
• サービスの列挙／インストール
• キー入力操作情報のためのモジュール "skb32.dll" の読み込み