• Email
• Facebook
• Twitter
• Google+
• Linkedin

BKDR_SHIZ.TO

---

• マルウェアタイプ: バックドア型
• 破壊活動の有無: なし
• 暗号化: はい
• 感染報告の有無: はい

---

  概要

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、Windowsのタスクスケジューラを用いて、「スケジュールされたタスク」を作成します。これにより、作成されたコピーが実行されます。

マルウェアは、感染コンピュータをスキャンし、ウイルスおよびセキュリティ対策製品に関連するレジストリキーを確認します。この動作は、マルウェアが感染コンピュータ上での検出を避けるためにするものと考えられます。

マルウェアは、不正リモートユーザからリモートで受信する特定のコマンドを実行します。これにより、感染コンピュータおよび同コンピュータ上の情報は危険にさらされることとなります。

マルウェアは、特定のフラッド攻撃を用いて、感染コンピュータ上から「サービス拒否（DoS）攻撃」を実行します。

マルウェアは、ユーザのキー入力操作情報を記録し、情報を収集します。

マルウェア マルウェアは、自身（コンピュータに侵入して最初に自身のコピーを作成した マルウェア ）を削除します。

---

  詳細

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %User Temp%\{random number}.tmp
• %All Users Profile%\Application Data\{random malware name}{32|64}.exe

(註：%User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

マルウェアは、Windowsのタスクスケジューラを用いて、「スケジュールされたタスク」を作成します。これにより、作成されたコピーが実行されます。

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• MicrosoftSS5511Gate

マルウェアは、以下のプロセスにコードを組み込みます。

• explorer.exe

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows NT\CurrentVersion\Winlogon
Userinit = "%System%\userinit.exe,%All Users Profile%\Application Data\{random malware name}{32|64}.exe,”

(註：変更前の上記レジストリ値は、「%System%\userinit.exe,」となります。)

この「スケジュールされたタスク」により、以下の時間ごとにマルウェアが実行されます。

• User logon

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings
GlobalUserOffline = "0"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Cryptography
B0B2D6E3 = "{random binary value}"

マルウェアは、感染コンピュータをスキャンし、ウイルスおよびセキュリティ対策製品に関連する以下のレジストリキーを確認します。

HKEY_LOCAL_MACHINE\SOFTWARE\VBA32

HKEY_LOCAL_MACHINE\SOFTWARE\Softed\
ViGUARD

HKEY_LOCAL_MACHINE\SOFTWARE\Doctor Web

HKEY_LOCAL_MACHINE\SOFTWARE\Zone Labs\
ZoneAlarm

HKEY_LOCAL_MACHINE\Software\Eset\
Nod

HKEY_LOCAL_MACHINE\Software\Data Fellows\
F-Secure

HKEY_LOCAL_MACHINE\Software\Network Associates\
TVD

HKEY_LOCAL_MACHINE\Software\ComodoGroup

HKEY_LOCAL_MACHINE\Software\Symantec

HKEY_LOCAL_MACHINE\Software\TrendMicro

HKEY_LOCAL_MACHINE\Software\rising

HKEY_LOCAL_MACHINE\Software\Coranti

HKEY_LOCAL_MACHINE\Software\Sophos

HKEY_LOCAL_MACHINE\Software\Panda Software

HKEY_LOCAL_MACHINE\Software\Bitdefender

HKEY_LOCAL_MACHINE\Software\KasperskyLab\
protected

HKEY_LOCAL_MACHINE\Software\AVAST Software\
Avast

HKEY_LOCAL_MACHINE\Software\Avira

HKEY_LOCAL_MACHINE\Software\G Data

HKEY_LOCAL_MACHINE\Software\Avg

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Microsoft Antimalware

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• !new_config
• !inject
• !load
• !load_ex
• !block_post
• !block_reset
• !activebc
• !deactivebc
• !kill_os

マルウェアは、コマンド＆コントロール（C&C）サーバに以下の情報を通知します。

• [type=post]
• [bot id=%s]
• [url=%s]
• [ua=%s]
• [proc=%s]
• [ref=%s]
• [keys=%s]
• [data=%s]

Denial of Service（DoS）攻撃

マルウェアは、以下のフラッド攻撃を用いて、感染コンピュータ上からDoS攻撃を実行します。

• DNS Query flooding

作成活動

マルウェアは、以下のファイルを作成します。このファイルは、キー入力操作情報を収集するために利用されます。

• %Application Data%\ipusy{random 3 letters}

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

情報漏えい

マルウェアは、ユーザのキー入力操作情報を記録し、情報を収集します。

その他

マルウェアは、以下の不正なWebサイトにアクセスします。

• http://{BLOCKED}uf.info/ajax.php
• http://{BLOCKED}c.info/ajax.php
• http://{BLOCKED}ik.info/ajax.php
• http://{BLOCKED}p.info/ajax.php

マルウェア は、自身（コンピュータに侵入して最初に自身のコピーを作成した マルウェア ）を削除します。

マルウェアは、ユーザのログオン毎に実行されるようスケジュールされたタスクを、以下の名前で作成します。このタスクによりマルウェアが作成したマルウェアが実行されます。このスケジュールされたタスクは、非表示になっています。

• nVidiaBootAgent{32|64}.job

マルウェアは、マルウェアがレジストリ値から取得したプロセスにコードを挿入します。

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows NT\CurrentVersion\Winlogon
Shell = "Explorer.exe"

この際、マルウェアは、以下へコードを挿入します。

• Explorer.exe

マルウェアは、以下の文字列を含むコマンドラインのパラメータを持つ実行中プロセスを監視します。

• BANKATCASH\bcmain.exe
• BANKATLOCAL\ebmain.exe
• CFT\rclient.ex
• CTERM\CyberTerm.ex
• ELBALOCAL\ELBA5STANDBY.exx
• HPB\hbp.exe
• MCLOCAL\OEBMCC32.exe
• MCSIGN\oseTokenServer.exe
• SAP\saplogon.ex
• WM\webmoney.ex
• WU\translink.ex
• \ARM\ARM.ex
• \ASBANK_LITE.ex
• \AdClient.ex
• \BANK32.ex
• \BBCLIENT.ex
• \BBMS.ex
• \BCLIENT.ex
• \BC_Loader.ex
• \BFBC2Game.exe
• \BUDGET.ex
• \Bk_kw32.ex
• \CLB.ex
• \CLBank.ex
• \CNCCLIENT.ex
• \CSHELL.ex
• \Ceedo.ex
• \CeedoRT.ex
• \CliBank.ex
• \Client2.ex
• \Client32.ex
• \ClientBK.ex
• \ClntW32.ex
• \ContactNG.ex
• \DTPayDesk.ex
• \Dealer.ex
• \DragonAge2.exe
• \EELCLNT.ex
• \ELBA5.exx
• \ETSRV.ex
• \Edealer.ex
• \EffectOffice.Client.ex
• \EximClient.ex
• \FalloutNV.exe
• \FileProtector.ex
• \Hob.exe
• \IDProtect Monitor.ex
• \IMBLink32.ex
• \Ibwn8.ex
• \JSCASHMAIN.ex
• \KBADMIN.ex
• \KB_PCB.exe
• \KLBS.ex
• \LBank.ex
• \LFCPaymentAIS.ex
• \LPBOS.ex
• \MMBANK.ex
• \MWCLIENT32.ex
• \NURITSmartLoader.ex
• \Need for Speed
• \OEBMCL32.exe
• \OKMain.ex
• \Omeg\M7.ex
• \OnCBCli.ex
• \Overlord2.exe
• \PRCLIENT.ex
• \PaymMaster.ex
• \Payments.ex
• \Payroll.ex
• \PinRayR.ex
• \Pmodule.ex
• \PostMove.ex
• \ProductPrototype.ex
• \QIWIGUARD.ex
• \QUICKPAY.ex
• \Qiwicashier.ex
• \RETAIL.ex
• \RETAIL32.ex
• \RF_installsoft.ru.exe
• \RTADMIN.ex
• \RTCERT.ex
• \SAADM.ex
• \SACLIENT.ex
• \SGBClient.ex
• \SIManager.ex
• \SXDOC.ex
• \SecureStoreMgr.exe
• \Settlers7R.exe
• \StartCeedo.ex
• \Stronghold3.exe
• \Sunflow.ex
• \TERMW.ex
• \Telemaco.ex
• \TelemacoBusinessManager.ex
• \Trainz Simulator
• \Transact.ex
• \UARM.ex
• \UNISTREAM.ex
• \URALPROM.ex
• \UpOfCards.ex
• \VKSaver.exe
• \W32MKDE.ex
• \WClient.ex
• \WFINIST.ex
• \WUPostAgent.ex
• \WebLogin.ex
• \WinPost.ex
• \WinVal.ex
• \WorldOfTanks.exe
• \avn_cc.ex
• \bankcl.ex
• \bb.ex
• \bb24.exe
• \bestcrypt.ex
• \bit4pin.ex
• \bitcoin-qt.ex
• \bk.ex
• \cb193w.ex
• \cbmain.ex
• \cbsmain.dll
• \clcard.ex
• \client6.ex
• \contoc.ex
• \dcrypt.ex
• \dikeutil.ex
• \eclnt.ex
• \el_cli.ex
• \elbank.ex
• \eurotrucks2.exe
• \farcry3.exe
• \fcClient.ex
• \freotfe.ex
• \gtaiv.exe
• \h12.exe
• \iWallet.ex
• \ibcremote31.ex
• \info.ex
• \iquote32.ex
• \iscc.ex
• \kb_cli.ex
• \legalSign.ex
• \litecoin-qt.ex
• \mafia2.exe
• \openvpn-gui
• \payment_processor.ex
• \pkkb.exe
• \plat.ex
• \rmclient.ex
• \rpay.ex
• \sapphire.ex
• \selva_copy.ex
• \srclbclient.exe
• \startclient7.ex
• \terminal.ex
• \truecrypt.ex
• \ubs_net.ex
• \visa.ex
• \wCLNT.ex
• \xplat_client.ex

この「スケジュールされたタスク」により、ユーザのログオン毎にマルウェアが実行されます。

マルウェアは、DNSクエリのフラッド攻撃を用いて、感染コンピュータ上からDoS攻撃を実行します。

---

  対応方法

ご利用はいかがでしたか？　アンケートにご協力ください