BKDR_ZEGOST.YNSK

マルウェアは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。 マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。

マルウェアは、ユーザのキー入力操作情報を記録し、情報を収集します。

ただし、情報公開日現在、このWebサイトにはアクセスできません。 マルウェア マルウェアは、自身（コンピュータに侵入して最初に自身のコピーを作成した マルウェア ）を削除します。

侵入方法

マルウェアは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

• %Windows%\1005C8E6\svchsot.exe

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

マルウェアは、以下のコンポーネントファイルを作成します。

• %Windows%\Task\At{number}.job - scheduled task

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• abcstudy.f3322.net:23668abcstudy.f3322.net:23668abcstudy.f3322.net:23668

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
1005C8E6 = "%Windows%\1005C8E6\svchsot.exe"

この「スケジュールされたタスク」により、以下の時間ごとにマルウェアが実行されます。

• 1 hour (everyday)

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Download files
• Perform remote shell command
• Capture screenshots
• Perform DDOS attack

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• abcstudy.f3322.net

プロセスの終了

マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• avp.exe
• KSafeTray.exe
• Rstray.exe
• 360tray.exe
• RavMonD.exe
• QQPCTray.exe
• KvMonXP.exe
• egui.exe
• kxetray.exe

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスし、ファイルをダウンロードします。

• http://abcstudy.{BLOCKED}2.net:2011/1.exe

情報漏えい

マルウェアは、ユーザのキー入力操作情報を記録し、情報を収集します。

その他

ただし、情報公開日現在、このWebサイトにはアクセスできません。

マルウェア は、自身（コンピュータに侵入して最初に自身のコピーを作成した マルウェア ）を削除します。