感染
・NTRootKit-Hは以下のWebサイトからダウンロードされたファイルとして届きます。
http://{削除}dalqik.ru/offshore/denis.exe
インストールおよび自動起動
・実行時、ntos.exeという名前でシステムフォルダに自身のコピーをドロップ（作成）します。さらに、簡単に検出されないよう、ドロップしたコピーの終わりにコードを付加します。
・システム起動時に自動実行されるよう、以下のレジストリ項目を改変します。
- HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon Userinit = "%System%\Userinit.exe,%System%\ntos.exe,"
（注：上記のレジストリ項目のデフォルトのデータ値は%System%\Userinit.exe。%System%はWindowsのシステムフォルダ。例：C:\WINNT\System32、C:\Windows\System32）
・また、インストールルーチンの一部として、以下のレジストリ項目を作成します。
- HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Network
UID: "{コンピュータ名}_{ランダムな数字}"
- HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Explorer\{19127AD2-394B-70F5-C650-B97867BAA1F7}
- HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Explorer\{43BF8CD1-C5D5-2230-7BB2-98F22C2B7DC6}
- HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Explorer\{60A8C15A-6EAE-3FE9-357B-96DB4F66803C
- KEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile
EnableFirewall: 0x00000000
・また、NTRootKit-Hはリモートスレッドを作成し、正規のプロセス（winlogon.exe、svchost.exe）に自身を挿入して、メモリに常駐し、以下のAPIにフックしてファイルを隠し、システムの動作を監視します。
IATへのフック
- ntdll.dll!NtQueryDirectoryFile
- ntdll.dll!LdrLoadDll
- ntdll.dll!LdrGetProcedureAddress
- ntdll.dll!NtCreateThread
- USER32.dll!TranslateMessage
- USER32.dll!GetClipboardData
・%System%\wsnpoemフォルダを作成し、ユーザに自身のコンポーネントが発見され、削除されないよう、自身の属性をSystem、Hiddenに設定します。さらに、作成したフォルダに以下の悪質でないファイルをドロップします。
- audio.dll - 構成ファイル
- video.dll - 盗み出した情報
情報の盗み出し
・以下のWebサイトから暗号化された構成ファイルであるdenis.binをダウンロードし、%System%\wnspoem\audio.dllという名前で保存します。
http://{削除}dalqik.ru/offshore/denis.bin
・復号化された構成ファイルには銀行関連のURLが格納されています。NTRootKit-HはインターネットブラウザのアドレスバーでこのURLを監視します。なお、ファイルの内容、すなわち監視するWebサイトのリストはいつでも変更される可能性があります。ユーザがターゲットのWebサイトにアクセスすると、NTRootKit-Hはキー入力を記録します。
・NTRootKit-Hはオンラインバンキングの機密情報を盗み出そうとします。ユーザが構成ファイルにある監視対象サイトにアクセスしようとすると、NTRootKit-Hはユーザの入力、特にユーザ名、パスワード用に作成されたボックスへの入力を取り込み、%System%\wsnpoem\video.dllファイルに保存します。
・httpポストを介して以下のリモートサイトに%System%\wsnpoem\video.dllファイルを送信します。
http://{削除}dalqik.ru/offshore/denis.php
その他の動作
・また、以下のWebサイトから別の実行ファイル（rix.exe）をダウンロードすることが確認されています。
http://{削除}rules.ru
