Backdoor.MSIL.REMCOS.AOZ

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。 マルウェアは、他のマルウェアに作成され、コンピュータに侵入します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

マルウェアは、感染コンピュータや感染ユーザから特定の情報を収集します。 マルウェアは、ユーザのキー入力操作情報を記録し、情報を収集します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、以下のマルウェアに作成され、コンピュータに侵入します。

• Trojan.P97M.REMCOS.AB

インストール

マルウェアは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

• %AppDataLocal%\Usermodehost.exe

(註：%AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)

マルウェアは、以下のプロセスを追加します。

• cmd.exe /c copy "%User Temp%\dee.1exe" "%AppDataLocal%\Usermodehost.exe"

(註：%AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)

マルウェアは、以下のフォルダを作成します。

• %Application Data%\remcos

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• Remcos_Mutex_Inj
• nenye-IEA1X9

自動実行方法

マルウェアは、以下のファイルを作成します。

• %Application Data%\remcos\logs.dat -> log file used by the malware to store information sniffed by the keylogger

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

マルウェアは、＜User Startup＞フォルダ内に、自身のコピーに誘導する以下のショートカットを作成します。これにより、Windows起動時に自身のコピーが自動実行されます。

• %User Startup%\Usermodehost.lnk

(註：%User Startup%フォルダは、現在ログオンしているユーザのスタートアップフォルダです。Windows 98およびMEの場合、通常 "C:\Windows\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows NTの場合、通常 "C:\WINNT\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows 2003(32-bit)、XP、2000(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows Vista、7、8、 8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup" です。)

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\nenye-IEA1X9
licence = "{data}"

HKEY_CURRENT_USER\Software\nenye-IEA1X9
exepath = "{hex values}"

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Rename File
• Delete File
• Find File
• Download File
• Execute A File
• Upload File
• Execute a command
• Execute Downloaded File
• Terminate Process
• Close Window
• Change Window Text
• Show Window
• Enum Window
• Terminate Thread
• Change Wallpaper
• Empty Clipboard
• Get Clipboard Contents
• Set Clipboard Contents
• Shutdown Windows
• Show message box
• Modify registry
• Enumerate registry key/entries
• Get Keyboard Layout Information
• Activate Keylogger
• Turn Off Keylogger
• Connect to a server
• Close Connection
• Clear browser logins and cookies
• Get process id of window
• Hide or Show Window
• Uninstall Self
• Update Self
• Terminate Self
• Terminate Process
• List files and subfiles in directory
• Modify Service
• Play Sound
• Create Alarm
• Switch Windows
• Get DxDiag Information
• Get System Timing Information
• Open CMD
• Close Socket
• Change Keep-Alive timeout
• Capture Image Using Camera

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• anita98.{BLOCKED}s.org:3131

情報漏えい

マルウェアは、以下の情報を収集します。

• Operating System Version
• User Privilege (Admin or Non-Admin)
• Processor Revision No.
• Processor Level
• Processor Identifier
• Processor Architecture
• System type (32-bit or 64-bit)
• Keyboard Layout
• Keyboard Key Pressed
• Idle Time of User
• Clipboard Contents
• User Name
• Computer Name

マルウェアは、ユーザのキー入力操作情報を記録し、情報を収集します。