BKDR_ZACESS.SMQQ

マルウェアは、プロセスを終了し、システムのセキュリティを侵害します。また、マルウェアは、ファイルをパッチして不正なファイルに改変します。

マルウェアは、ピアツーピア（P2P）の共有フォルダを介してコンピュータに侵入します。 マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。 マルウェアは、他のマルウェアに作成され、コンピュータに侵入します。

マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

マルウェアは、P2Pの共有フォルダを介してコンピュータに侵入します。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、以下のマルウェアに作成され、コンピュータに侵入します。

• BKDR_ZACCESS.KP

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\CLSID\{42aedc87-2188-41fd-b9a3-0c966feabec1}\
InprocServer32
ThreadingModel = "Both"

HKEY_CURRENT_USER\CLSID\{42aedc87-2188-41fd-b9a3-0c966feabec1}\
InprocServer32
(Default) = "%Application Data%\{GUID}\n."

他のシステム変更

マルウェアは、以下のレジストリ値を変更します。

HKEY_CLASSES_ROOT\CLSID\{F3130CDB-AA52-4C3A-AB32-85FFC23AF9C1}\
InprocServer32
(Default) = "\.\globalroot\systemroot\Installer\{GUID}\n."

(註：変更前の上記レジストリ値は、「%System%\wbem\wbemess.dll」となります。)

バックドア活動

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• http://{BLOCKED}s.{BLOCKED}g.com

プロセスの終了

マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• MsMpSvc
• windefend
• SharedAccess
• iphlpsvc
• wscsvc
• mpssvc
• bfe
• SecurityCenter
• Wscnotify.exe
• MSASCui.exe
• MpCmdRun.exe
• MisSrv.exe
• msseces.exe
• wsctfy.exe

その他

マルウェアが自身の不正活動を実行するためには、以下のファイルが必要になります。

• %User Temp%\InstallFlashPlayer.exe

(註：%User Temp%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\Temp"、Windows NT の場合、"C:\Profiles\＜ユーザー名＞\TEMP"、Windows 2000、XP、Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\TEMP" です。)

マルウェアは、以下のファイルによって実行されるDLLファイルです。

• %User Temp%\InstallFlashPlayer.exe

マルウェアは、"%System%\services.exe" をパッチし、以下のようにオリジナルのコピーを保存します。

• %System%\Winsxs\Backup\services.exe

パッチされた "%System%\services.exe" は以下のように検出されます。

• 64bit版Windows 7の場合、「PTCH64_ZACCESS.A」として検出
• 32bit版Windows 7の場合、「PTCH_ZACCESS.A」として検出

改変されたレジストリにより、「WebBrowser Control」に関連する以下のファイルの代わりに、マルウェアが読み込まれます。

• %System%\wbem\wbemess.dll

メインのマルウェア「BKDR_ZACCESS.KP」によって作成された以下のファイルは、レジストリ値内でこのマルウェアによって利用され、起動する毎にマルウェアを自動実行可能にします。

• %Application Data%\＜GUID＞\n.
• \.\globalroot\systemroot\Installer\＜GUID＞\n.

(註：%Application Data%フォルダは、 Windows 2000、XP、Server 2003 の場合 ""C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"" 、 Windows NTの場合 ""C:\WINNT\Profiles\＜ユーザ名＞\Application Data""、Windows 98 および MEの場合、""C:\Windows\Profiles\＜ユーザ名＞\Application Data"" です。)

「\.\globalroot\systemroot」が示すディレクトリは、＜Windowsフォルダ＞に相当します。