Virus.Win32.BKICE.A

ウイルスは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ウイルスは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。

ただし、情報公開日現在、このWebサイトにはアクセスできません。

ウイルスは、感染コンピュータ上の特定の情報を収集します。

侵入方法

ウイルスは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ウイルスは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %System%\blackice.exe
• %System%\kernel.dll
• {Removable drive}\blackice.exe

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

ウイルスは、以下のプロセスを追加します。

• %System%\blackice.exe

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

ウイルスは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• blackicemutex

ウイルスは、以下のプロセスに組み込まれ、システムのプロセスに常駐します。

• explorer.exe

自動実行方法

ウイルスは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows NT\CurrentVersion\Windows
run = %System%\blackice.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
shell = Explorer.exe %System%\blackice.exe

ウイルスは、以下のファイルを作成します。

• {Removable Drive}\AUTORUN.inf -> executes blackice.exe

他のシステム変更

ウイルスは、以下のファイルを削除します。

• Files with .GHO extension (Norton backup)

ウイルスは、以下のレジストリ値を追加します。

HKEY_CURRENT_MACHINE\Software\Microsoft\
Office\{Office Version}\Word\
Security
Level = 1

HKEY_CURRENT_MACHINE\Software\Microsoft\
Office\{Office Version}\Word\
Security
AccessVBOM = 1

HKEY_CURRENT_MACHINE\Software\Microsoft\
Office\{Office Version}\Excel\
Security
Level = 1

HKEY_CURRENT_MACHINE\Software\Microsoft\
Office\{Office Version}\Excel\
Security
AccessVBOM = 1

ファイル感染

ウイルスは、以下の形式のファイルに感染します。

• .XLS files
• .DOC files
• .EXE files

ウイルスは、以下のファイルには感染しません。

• "winnt" in path
• "windows" in path

感染活動

ウイルスは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。

ルートキット機能

ウイルスは、ルートキット機能を備えていません。

プロセスの終了

ウイルスは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• NAVAPW32
• NAVAPSVC
• NMAIN
• NAVW32
• KVFW
• KAVSVCUI
• KAVPFW
• KAV32
• KVXP
• KVSRVXP
• KVMONXP
• KVWSC
• KAVSVC
• KWATCHUI
• RAVMOND
• RAVMON
• RAVTIMER
• RISING
• RAV.EXE
• IPARMOR
• TROJANHUNTER
• THGUARD
• PFW
• EGHOST
• ANYVIEW
• KASPERSKY
• 360SAFE

ダウンロード活動

ウイルスは、以下のWebサイトにアクセスして自身の環境設定ファイルをダウンロードします。

• http://fmtwld.{BLOCKED}j.com/blackice/url.txt
• http://fmtwld.{BLOCKED}p.net/blackice/url.txt

ウイルスは、以下のファイル名でダウンロードしたファイルを保存します。

• %System%\blackice.ini -> contains received information from C2 server (deleted later)

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

ただし、情報公開日現在、このWebサイトにはアクセスできません。

情報漏えい

ウイルスは、感染コンピュータ上の以下の情報を収集します。

• Hostname
• Volume Serial Number
• MAC Address
• Microsoft Office Version

その他

ウイルスは、以下を実行します。

• Should meet the following conditions in order to proceed with infection routine:
  • dwOSVersionInfoSize should be 9c or 94
  • dwPlatformId should be 2 (Win32NT or later)
• Infects files found in the following drive types:
  • Fixed
  • Network connected via WNetEnum

注意：

ウイルスは、脆弱性を利用した感染活動を行いません。

<補足>
インストール

ウイルスは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %System%\blackice.exe
• %System%\kernel.dll
• {リムーバブルドライブ}\blackice.exe

自動実行方法

ウイルスは、以下のファイルを作成します。

• {リムーバブルドライブ}\AUTORUN.inf → blackice.exeの実行

他のシステム変更

ウイルスは、以下のファイルを削除します。

• ノートンバックアップファイル（拡張子GHO）

ファイル感染

ウイルスは、以下の形式のファイルに感染します。

• Excelファイル（拡張子XLS）
• 文書ファイル（拡張子DOC）
• 実行ファイル（拡張子EXE）

ウイルスは、以下のファイルには感染しません。

• パス内の「winnt」
• パス内の「windows」

ダウンロード活動

ウイルスは、以下のファイル名でダウンロードしたファイルを保存します。

• %System%\blackice.ini → C&Cサーバから受信した情報を含む (後に削除される)

情報漏えい

ウイルスは、感染コンピュータ上の以下の情報を収集します。

• ホスト名
• ボリュームシリアルナンバー
• MACアドレス
• Microsoft Office製品のバージョン

その他

ウイルスは、以下を実行します。

• 感染活動を続行するには、以下の条件を満たす必要があります。
  • dwOSVersionInfoSizeは、9cあるいは94である必要があります。
  • dwPlatformIdは、2である必要があります。 (Win32NT以降)
• 以下のドライブタイプ内で見つかったファイルに感染します。
  • 固定
  • WNetEnum経由で接続されたネットワーク