Backdoor.MSIL.REMCOS.JCASNR

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。 ただし、情報公開日現在、このWebサイトにはアクセスできません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Application Data%\fope.exe

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

マルウェアは、以下のファイルを作成します。

• %Application Data%\GTX-Vidia\logs.dat → record of user keystrokes
• %User Temp%\install.vbs
• %User Temp%\update.vbs

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。. %User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

マルウェアは、以下のプロセスを追加します。

• "cmd.exe" /C schtasks /create /sc minute /mo 1 /tn "Nafdnasia" /tr %Application Data%\fope.exe /f
• "cmd.exe" /C copy "{Malware File Path}\{Malware File Name}.exe" "%Application Data%\fope.exe"
• %Windows%\Microsoft.NET\Framework\{.NET Version}\RegAsm.exe

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。. %Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

マルウェアは、以下のフォルダを作成します。

• %Application Data%\GTX-Vidia

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• Mutex_RemWatchDog
• ewi742dnd-7CE5YY

マルウェアは、以下のプロセスにコードを組み込みます。

• %Windows%\Microsoft.NET\Framework\{.NET Version}\RegAsm.exe

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\ewi742dnd-7CE5YY
exepath = {hex values}

HKEY_CURRENT_USER\Software\ewi742dnd-7CE5YY
licence = {hex values}

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Open and close camera
• Start and stop keylogger
• Download files
• Upload files
• Delete files
• Rename files
• Enumerate files
• Execute files
• Browse directory
• Delete directory
• Play, pause, and stop an alarm
• Play, pause, stop, and record audio
• Change desktop wallpaper
• Enumerate running processes
• Execute cmd.exe
• Manage services (Create, Enumerate, Modify, Start, Stop, and Delete)
• Manage registry keys and entries (Create, Enumerate, Modify, and Delete)
• Bypass UAC to escalate its privileges in the victim machine
• Restarts the affected machine
• Sleeps the affected machine
• Logs off the affected machine
• Shutdown the affected machine
• Create image
• Screen capture user's desktop
• Set, copy, and clear clipboard data
• Retrieve and clear login data and cookies from the following web browsers:
  • Chrome
  • Firefox
  • Internet Explorer
• Display a message box
• Maximize/minimize application
• Get active program's window title
• Add, modify, or delete an icon from the taskbar's status area

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• coman-n.{BLOCKED}s.org:30288

ただし、情報公開日現在、このWebサイトにはアクセスできません。

情報漏えい

マルウェアは、以下の情報を収集します。

• User Name
• Computer Name
• Product Name
• Windows Architecture
• User Keystrokes
• Locale Information
• User Privileges (User or Administrator)
• Clipboard Data
• Keyboard Input
• User Activity (Idle Time)
• Mouse Activity
• Memory Information
• System Drive Information

その他

以下のスケジュールされたタスクを追加します：

• Name: Nafdnasia
  Trigger: After triggered, repeat every 00:01:00 indefinitely
  Action: Start a program %Application Data%\fope.exe

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)