• Email
• Facebook
• Twitter
• Google+
• Linkedin

Virus.ALS.BURSTED.D

---

• マルウェアタイプ: ファイル感染型ウイルス
• 破壊活動の有無: なし
• 暗号化: なし
• 感染報告の有無: はい

---

  概要

ウイルスは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ウイルスは、バックドア活動の機能を備えていません。

ウイルスは、ダウンロードする機能を備えていません。

ウイルスは、感染コンピュータ上の特定の情報を収集します。

---

  詳細

侵入方法

ウイルスは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

他のシステム変更

ウイルスは、以下のレジストリ値を変更し、隠しファイル属性のファイルを非表示にします。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced\Folder\Hidden\
SHOWALL
CheckedValue = 0

(註：変更前の上記レジストリ値は、「1」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced\Folder\Hidden\
NOHIDDEN
CheckedValue = 0

(註：変更前の上記レジストリ値は、「2」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced\Folder\Hidden\
NOHIDDEN
DefaultValue = 0

(註：変更前の上記レジストリ値は、「2」となります。)

バックドア活動

ウイルスは、バックドア活動の機能を備えていません。

ルートキット機能

ウイルスは、ルートキット機能を備えていません。

ダウンロード活動

ウイルスは、ダウンロードする機能を備えていません。

情報漏えい

ウイルスは、感染コンピュータ上の以下の情報を収集します。

• MAC Address (all network adapters via WMI)
• System date and time

その他

ウイルスは、以下を実行します。

• It does not execute if any of the following conditions are NOT met:
  • The system date is later than September 9, 2009
  • The systems MAC address matches one of the 500 predetermined target variations
  • The current system time minute is even
• It infects the following AuatoCAD startup files:
  • {AutoCAD menu name}doc.lsp
  • {AutoCAD menu name}.mnl
  • {DWG folder path}\acaddoc.lsp
• It uses the following as infection marker:
  • ;;;jjyy
• It sets the following attributes on infected files:
  • Hidden
  • System
• It establishes persistence by inserting its malicious code into the "s::startup" function, causing AutoCAD to run it automatically on startup and when drawings are opened.
• It disables command echo to hide malicious activity:
  • Sets the AutoCAD system variable cmdecho = 0
• It re-enables file dialogs to maintain operational stealth:
  • Sets the AutoCAD system variable filedia = 1
• Attempts to load GBTXT.shx through a text style named "shxfont"

<補足>
情報漏えい

ウイルスは、感染コンピュータ上の以下の情報を収集します。

• MACアドレス（WMI 経由で接続されているすべてのネットワークアダプタ）
• システム日時

その他

ウイルスは、以下を実行します。

• 以下のいずれかの条件が満たされていない場合、自身の不正活動を実行しません。
  • システム日付が2009年9月9日より後の日時
  • コンピュータのMACアドレスが、予め定められた500のターゲットバリエーションのいずれかと一致する
  • 現在のシステム時刻の「分数」が偶数
• 以下のAuatoCADの起動ファイルに感染します。
  • {AutoCADのメニュー名}doc.lsp
  • {AutoCADのメニュー名}.mnl
  • {DWGフォルダのパス}\acaddoc.lsp
• 感染マーカーとして以下を用います。
  • ;;;jjyy
• 感染したファイルに以下の属性を設定します。
  • 隠しファイル属性（Hidden）
  • システムファイル属性（System）
• 不正コードを「s::startup」関数に注入することで自身の不正活動を永続化させます。これにより、AutoCADの起動時や図面が開いたときに自動的に不正コードが実行されます。
• 不正活動を隠蔽するためにコマンドのエコーを無効化します。
  • AutoCADのシステム変数「cmdecho」を「0」に設定します。
• 操作のステルス性を維持するためにファイルダイアログを再度有効化します。
  • AutoCADのシステム変数「filedia」を「1」に設定します。
• テキストスタイル「shxfont」を通じてGBTXT.shxの読み込みを試みます。

---

  対応方法

ご利用はいかがでしたか？　アンケートにご協力ください