• Email
• Facebook
• Twitter
• Google+
• Linkedin

BKDR_DELF.XXVQ

---

• マルウェアタイプ: バックドア型
• 破壊活動の有無: なし
• 暗号化: はい
• 感染報告の有無: はい

---

  概要

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、ワーム活動の機能を備えていません。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。 ただし、情報公開日現在、このWebサイトにはアクセスできません。

マルウェアは、Internet Explorer（IE）のゾーン設定を変更します。

マルウェア マルウェアは、自身（コンピュータに侵入して最初に自身のコピーを作成した マルウェア ）を削除します。

---

  詳細

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

• %AppDataLocal%\reader_sl.exe

(註：%AppDataLocal%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local" です。)

マルウェアは、以下の偽エラーメッセージを表示します。

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
PDF Reader = "%AppDataLocal%\reader_sl.exe"

他のシステム変更

マルウェアは、以下のレジストリ値を変更します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
ZoneMap
UNCAsIntranet = "0"

(註：変更前の上記レジストリ値は、「"{user defined}"」となります。)

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
ZoneMap
AutoDetect = "1"

(註：変更前の上記レジストリ値は、「"{user defined}"」となります。)

感染活動

マルウェアは、ワーム活動の機能を備えていません。

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Check Server/Client Connectivity
• Install/Uninstall/Update Server
• Execute/Terminate Server
• Execute/Terminate/List Processes
• List and Control Available Windows (Maximize, Minimize, Close, Hide, Disable Buttons)
• Activate/Deactivate Keylogger
• Visit Arbitrary websites
• Control Mouse (Disable, Enable, Shake, Freeze, Move)
• Enable/Disable the Start Button
• Display Arbitrary Message Boxes
• Manage Files and/or Folders(List, Create, Delete, Rename, Move, Hide, Unhide, Copy, Cut, Paste, Search)
• Traverse Directories (Recent, Documents, Desktop, Windows, System, Current)
• Change User
• Perform chat
• Perform Screen Capture
• List and control Webcams
• Upload/Download Arbitrary Files (Pause, Resume)
• Get Thumbnails
• Get Audio
• Get/Set Clipboard data
• List available drivers
• Perform DDOS (TCP, UDP)
• Gather the following information and send to the C&C server:
  • System Information
  • Computer Name
  • Host Name
  • Google Talk Credentials
  • Keylogs
  • Server Information

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• mmzo.{BLOCKED}s.org:1431

ただし、情報公開日現在、このWebサイトにはアクセスできません。

Webブラウザのホームページおよび検索ページの変更

マルウェアは、IEのゾーン設定を変更します。

その他

マルウェアは、以下のファイルの属性を隠しファイルおよびシステムファイル属性に設定します。

• %AppDataLocal%\reader_sl.exe <- copy of itself

(註：%AppDataLocal%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local" です。)

マルウェア は、自身（コンピュータに侵入して最初に自身のコピーを作成した マルウェア ）を削除します。

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• サーバおよびクライアント接続の確認
• サーバのインストール、アンインストールおよびアップデート
• サーバの実行および終了
• プロセスの実行、終了および列挙
• 使用可能なウィンドウの列挙および制御 (最大化、最小化、終了、非表示および ボタンの無効化)
• キーロガーの起動および停止
• 任意のWebサイトの訪問
• マウスの制御 (無効、有効、振動、固定および移動)
• スタートボタンの有効化および無効化
• 任意のメッセージボックスの表示
• ファイルおよびフォルダの管理（列挙、作成、削除、改称、移動、非表示、表示、コピー、切り取り、貼り付けおよび検索）
• ディレクトリの横断 （最近使用した場所、ドキュメント、デスクトップ、Windows、システムおよび現在の場所）
• ユーザの変更
• チャットの実行
• スクリーンキャプチャの実行
• Webカメラの列挙および操作
• 任意のファイルのアップロードおよびダウンロード（一時停止および再開）
• 縮小画像の取得
• 音声の取得
• クリップボード情報の取得および設定
• 使用可能なドライバの列挙
• 「分散型サービス拒否（DDoS）攻撃」の実行(TCP Syn フラッド攻撃およびUDP フラッド攻撃)
• 以下の情報の収集およびコマンド＆コントロール（C&C）への送信
  • コンピュータの情報
  • コンピュータ名
  • ホスト名
  • Google Talk の認証情報
  • キー入力操作情報の記録
  • サーバの情報

マルウェアが属性を隠しファイルおよびシステムファイル属性に設定する以下のファイルは、自身のコピーです。

• %AppDataLocal%\reader_sl.exe

マルウェアは、ルートキット機能を備えていません。

マルウェアは、脆弱性を利用した感染活動を行いません。

---

  対応方法

ご利用はいかがでしたか？　アンケートにご協力ください