&苍产蝉辫;解析者: Roland Dela Paz   
&苍产蝉辫;プラットフォーム:

Windows 2000, XP, Server 2003

&苍产蝉辫;危険度:
&苍产蝉辫;ダメージ度:
&苍产蝉辫;感染力:
&苍产蝉辫;感染确认数:

  • マルウェアタイプ:
    バックドア型

  • 破壊活动の有无:
    なし

  • 暗号化:
    なし

  • 感染報告の有無 :
    はい

? 概要

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。その理由として、ダメージ度や感染力、あるいは、その両方の脅威レベルの高まりが挙げられます。特にこのマルウェアは、特別に細工されたスクリプト「HTML_BADEY.A」によってダウンロードされます。「HTML_BADEY.A」は、Internet Explorer (IE)の脆弱性を利用します。

このマルウェアは、リモートサイトから「贬罢惭尝冲叠础顿贰驰.础」によってダウンロードされ、コンピュータに侵入します。マルウェアは、コンポーネントファイルを作成したり、また、感染コンピュータで実行中のプロセスに自身を组み込みます。また、マルウェアは、自身をシステムサービスとして登録し、奥颈苍诲辞飞蝉起动时に自动実行されるようレジストリ値を追加します。さらに、マルウェアは、特定のポートを开きます。

マルウェアは、奥别产サイトにアクセスしてファイルをダウンロードします。マルウェアは、ダウンロードしたファイルを特定のファイル名で保存します。また、マルウェアは、暗号化ファイルをダウンロードした后、これらのファイルを復号して読み込みます。これらのファイルは、マルウェアが感染コンピュータ上で実行するバックドアのコマンドを含んでいます。

マルウェアは、リモートサイトから他の不正プログラムもしくはアドウェア等にダウンロードされ、コンピュータに侵入します。

  詳細

使用ポート UDP port 80 (HTTP)
ファイルサイズ 不定
タイプ PE
メモリ常驻 はい
発见日 2010年11月4日
ペイロード Downloads files

侵入方法

マルウェアは、リモートサイトから以下の不正プログラムもしくはアドウェア等にダウンロードされ、コンピュータに侵入します。

  • HTML_BADEY.A

マルウェアは、以下のリモートサイトからダウンロードされ、コンピュータに侵入します。

  • http://www.{BLOCKED}lub.com/reg/linkbl.gif

インストール

マルウェアは、以下のコンポーネントファイルを作成します。

  • %System%\msnetacsvc.dll - also detected as BKDR_BADEY.A
  • %User Startup%\ctfmon.exe - also detected as BKDR_BADEY.A

(註：%System%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、""C:\Windows\System""、Windows NT および 2000 の場合、""C:\WinNT\System32""、Windows XP および Server 2003 の場合、""C:\Windows\System32"" です。. %User Startup%フォルダは、通常、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup" 、Windows NTの場合、"C:\WINNT\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup"、Windows 2000、XP、Server 2003の場合、"C:\Documents and Settings\＜ユーザ名＞\Start Menu\Programs\Startup " です。)

マルウェアは、以下のプロセスに自身を组み込み、システムのプロセスに常驻します。

  • svchost.exe

自动実行方法

マルウェアは、自身をシステムサービスとして登録し、奥颈苍诲辞飞蝉起动时に自动実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\NWCWorkstation
DisplayName = NetWare Workstations

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\NWCWorkstation
ObjectName = LocalSystem

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\NWCWorkstation
Type = 0

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\NWCWorkstation
Start = 2

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\NWCWorkstation
ErrorControl = 1

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\NWCWorkstation
ImagePath = %SystemRoot%\System32\svchost.exe -k netsvcs

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\NWCWorkstation
Description = "Provide NetWare network file and print resources visit."

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\NWCWorkstation\Parameters
ServiceDll = "%SystemRoot%\System32\msnetacsvc.dll"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\NWCWorkstation\Security
Security = {hex values}

バックドア活动

マルウェアは、以下のポートを开きます。

  • UDP port 80 (HTTP)

ダウンロード活动

マルウェアは、以下の奥别产サイトにアクセスし、ファイルをダウンロードします。

  • http://{BLOCKED}8.114.26/images/{random}.gif
  • http://{BLOCKED}8.114.26/pic/{random}.gif
  • http://{BLOCKED}8.114.26/image/{random}.gif
  • http://{BLOCKED}8.114.26/binary/{random}.gif
  • http://{BLOCKED}8.114.26/news/{random}.gif
  • http://{BLOCKED}8.114.26/index/{random}.gif
  • http://{BLOCKED}8.114.26/picture/{random}.gif
  • http://{BLOCKED}8.114.26/bbs/{random}.gif

マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。

  • %User temp%\{random file name}.tmp

?その他：

マルウェアは、暗号化ファイルをダウンロードした后、これらのファイルを復号して読み込みます。これらのファイルは、マルウェアが感染コンピュータ上で実行するバックドアのコマンドを含んでいます。

  対応方法

対応検索エンジン: 8.900
初回 VSAPI パターンバージョン 7.594.09
初回 VSAPI パターンリリース日 2010年11月4日
VSAPI OPR パターンバージョン 7.595.00
VSAPI OPR パターンリリース日 2010年11月4日

手順 1

Windows ME および XPユーザは、パソコンから不正プログラムもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ずにしてください。

手順 2

Windowsの検索機能（[スタート] → [検索] → [ファイルとフォルダすべて] を選択）などを使用して、この「BKDR_BADEY.A」が作成、あるいは、ダウンロードした以下のファイルを検索し、検索した場合は削除してください。