Backdoor.Win32.MILUM.A

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %ProgramData%\Micapp\Windows\cnf.dat

(註：%ProgramData%フォルダは、マルチユーザーシステムにおいて任意のユーザがプログラムに変更を加えることができるプログラムファイルフォルダのバージョンです。これには、すべてのユーザのアプリケーションデータが含まれます。Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData" です。Windows Server 2003(32-bit)、2000(32-bit)、XPの場合、通常 "C:\Documents and Settings\All Users" です。 )

マルウェアは、以下のファイルを作成し実行します。

• %ProgramData%\Micapp\Windows\{Malware name}.exe

(註：%ProgramData%フォルダは、マルチユーザーシステムにおいて任意のユーザがプログラムに変更を加えることができるプログラムファイルフォルダのバージョンです。これには、すべてのユーザのアプリケーションデータが含まれます。Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData" です。Windows Server 2003(32-bit)、2000(32-bit)、XPの場合、通常 "C:\Documents and Settings\All Users" です。 )

マルウェアは、以下のプロセスを追加します。

• %System32%\cmd.exe /c FOR /l %i in (1,1,10) DO IF NOT EXIST "{Malware Path}\{Malware Name}" (start "" "%ProgramData%\Micapp\Windows\{Malware Name}" & exit) ELSE ((DEL /F /Q "{Malware Path}\{Malware Name}") & timeout /t 1)
• %System32%\cmd.exe timeout /t 1
• %ProgramData%\Micapp\Windows\{Malware name}.exe

(註：%ProgramData%フォルダは、マルチユーザーシステムにおいて任意のユーザがプログラムに変更を加えることができるプログラムファイルフォルダのバージョンです。これには、すべてのユーザのアプリケーションデータが含まれます。Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData" です。Windows Server 2003(32-bit)、2000(32-bit)、XPの場合、通常 "C:\Documents and Settings\All Users" です。 )

マルウェアは、以下のフォルダを作成します。

• %ProgramData%\Micapp\Windows

(註：%ProgramData%フォルダは、マルチユーザーシステムにおいて任意のユーザがプログラムに変更を加えることができるプログラムファイルフォルダのバージョンです。これには、すべてのユーザのアプリケーションデータが含まれます。Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData" です。Windows Server 2003(32-bit)、2000(32-bit)、XPの場合、通常 "C:\Documents and Settings\All Users" です。 )

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_USERS\{USER SID}\Software\
Microsoft\Windows\CurrentVersion\
Run
CstartHelper = %ProgramData%\Micapp\Windows\{Malware Name}.exe

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Execute commands and return result through pipe
• Decode received content then drop to file in path field
• Encode file in path field then send
• Get file info
• Uninstall (run batch script to delete itself)
• Get command execution result
• Get system information (Windows version, CPU architecture, host name, username, AV Products)
• Get directory info
• Update malware (download new version and remove old one)

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• www.{BLOCKED}versys1212.com/rl.php
• {BLOCKED}.{BLOCKED}.3.86/page/view.php
• {BLOCKED}.{BLOCKED}.87.172/page/view.php