BKDR_ZACCESS

これは、複数の「BKDR_ZACCESS」の亜種を解析した結果に基づいた説明です。ファイル名およびレジストリ値といった具体的な情報は、亜種によって異なります。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。 マルウェアは、他のマルウェアまたはグレイウェアのパッケージとともにコンポーネントとして、コンピュータに侵入します。

マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。

マルウェアは、ルートキット機能を備えており、自身に関連したプロセスおよびファイルを隠匿し、ユーザによる検出および削除を避けます。

マルウェアは、他のマルウェアが不正活動を実行する際に利用されます。 ただし、情報公開日現在、このWebサイトにはアクセスできません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、他のマルウェアまたはグレイウェアのパッケージとともにコンポーネントとして、コンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %Windows%\{random numbers}
• %Application Data%\{random}\@
• %Application Data%\{random}\X

(註：%Windows%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows9x、Me、XP、Server 2003の場合、"C:\Window"、WindowsNT および 2000の場合、"C:\WINNT" です。. %Application Data%フォルダは、 Windows 2000、XP、Server 2003 の場合 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" 、 Windows NTの場合 "C:\WINNT\Profiles\＜ユーザ名＞\Application Data"、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞\Application Data" です。)

マルウェアは、以下のフォルダを作成します。

• %Application Data%\{random}

(註：%Application Data%フォルダは、 Windows 2000、XP、Server 2003 の場合 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" 、 Windows NTの場合 "C:\WINNT\Profiles\＜ユーザ名＞\Application Data"、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞\Application Data" です。)

マルウェアは、以下のプロセスにコードを組み込みます。

• explorer.exe

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows NT\CurrentVersion\Winlogon
Shell = "%Application Data%\{random}\X"

マルウェアは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{random}

バックドア活動

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• {BLOCKED}212.157
• {BLOCKED}er.yadro.ru

ルートキット機能

マルウェアは、ルートキット機能を備えており、自身に関連したプロセスおよびファイルを隠匿し、ユーザによる検出および削除を避けます。

その他

マルウェアは、以下の不正なWebサイトにアクセスします。

• http://{BLOCKED}ur.cn/{BLOCKED}t2.php?w=15&i={random characters}&a=1
• http://{BLOCKED}ur.cn/{BLOCKED}d.php?w=15&fail=1&i={random characters}
• http://{BLOCKED}ur.cn/{BLOCKED}at2.php?w=15&i={random characters}&a=21
• http://{BLOCKED}ur.cn/{BLOCKED}t2.php?w=15&i={random characters}&a=20
• http://{BLOCKED}hu.cn/stat2.php?w={value}&i={value}&a={value}
• http://{BLOCKED}hu.cn/bad.php?w={value}&fail={value}&i={value}

ただし、情報公開日現在、このWebサイトにはアクセスできません。

マルウェアは、自身のコンポーネントにアクセスするセキュリティソフトや駆除ツールを確認すると、それらを終了する機能を備えています。また、マルウェアが終了したプロセスのファイルが再び実行されることを完全に妨げるため、そのプロセスのファイルに関するアクセス制御リスト（ACL）の設定をリセットする機能も備えています。

マルウェアは、インストールの過程で正規のドライバを上書きし、Windows起動時に自身が自動実行されるようにする機能を備えています。

これは、複数の「BKDR_ZACCESS」の亜種を解析した結果に基づいた説明です。ファイル名およびレジストリ値といった具体的な情報は、亜種によって異なります。