Backdoor.Java.ADWIND.THBABAI

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。 マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %User Temp%\_.0{Random Numbers}.class
• %User Temp%\hsperfdata_{username}\{process ID} -> contains details of the malware
• %ProgramData%\Oracle\Java\.oracle_jre_usage\17dfc292991c7c81.timestamp -> time usage of oracle
• %User Temp%\Retrive{random numbers}.vbs -> script to detect installed AV security and Firewall products (deleted after execution)
• %User Profile%\fUTkALeaTxM\ID.txt -> contains UUID
• %System%\test.txt -> used to check for admin rights

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %ProgramData%フォルダは、マルチユーザーシステムにおいて任意のユーザがプログラムに変更を加えることができるプログラムファイルフォルダのバージョンです。これには、すべてのユーザのアプリケーションデータが含まれます。Windows Vista、7、8の場合、通常 "C:\ProgramData" です。. %User Profile%フォルダは、現在ログオンしているユーザのプロファイルフォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザ名＞"です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞" です。. %System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %User Profile%\{Random Characters}\{11 Random Characters}.{6 Random Characters}

(註：%User Profile%フォルダは、現在ログオンしているユーザのプロファイルフォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザ名＞"です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞" です。)

マルウェアは、以下のプロセスを追加します。

• xcopy "%Program Files%\Java\jre{version}" "%Application Data%\Oracle\" /e -> copy files and directory trees of Java Installation folder to %Application Data%\Oracle folder
• attrib +h "%User Profile%\{random characters}\*.*" -> set attribute of all files under the folder to hidden
• attrib +h "%User Profile%\{random characters}" -> set attribute of folder to hidden

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。. %User Profile%フォルダは、現在ログオンしているユーザのプロファイルフォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザ名＞"です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞" です。)

マルウェアは、以下のフォルダを作成します。

• %Application Data%\Oracle
• %User Profile%\fUTkALeaTxM
• %User Profile%\{Random Characters}

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。. %User Profile%フォルダは、現在ログオンしているユーザのプロファイルフォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザ名＞"です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞" です。)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{11 Random Characters} = "%Application Data%\Oracle\bin\javaw.exe" -jar "%User Profile%\{Random Characters}\{11 Random Characters}.{6 Random Characters}"

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• copy arbitrary files
• read arbitrary files
• run arbitrary files
• run arbitrary jar files
• run arbitrary shell commands
• sleep command
• queries arbitrary registry entries
• change the owner and permissions of the user folder for unix related OS
• creation of vbs script
• execute created scripts

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• {BLOCKED}g.{BLOCKED}r.me:3011