Backdoor.Win32.NETWIRED.FCD

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。 ただし、情報公開日現在、このWebサイトにはアクセスできません。

マルウェアは、感染コンピュータや感染ユーザから特定の情報を収集します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスを追加します。

• {Malware Path}\{Malware Filename}.exe

マルウェアは、以下のフォルダを作成します。

• %Application Data%\Logs

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• VVJTVMlV

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
- = {Malware Path}\{Malware Filename}.exe

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\NetWire
HostId = NEW

HKEY_CURRENT_USER\Software\NetWire
Install Date = {Install Date and Time}

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Active Setup\Installed Components\-
StubPath = {Malware Path}\{Malware Filename}.exe

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• List Running Processes
• List Drive Information
• Perform Keylogging Routine
• Get Logon Sessions
• List TCP and UDP Listening Ports
• Download & execute files on the affected system
• Execute Command Shell
• List files in a directory
• Terminate Processes
• Get File or Process Information

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• {BLOCKED}.{BLOCKED}.131.184:4095

ただし、情報公開日現在、このWebサイトにはアクセスできません。

作成活動

マルウェアは、以下のファイルを作成します。

• %User Temp%\{Random Characters}.bat → For Self Deletion

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

マルウェアは、以下のファイルを作成します。このファイルは、キー入力操作情報を収集するために利用されます。

• %Application Data%\Logs\{DD-MM-YYYY}

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

情報漏えい

マルウェアは、以下の情報を収集します。

• Credentials in the following protocol:
  • POP3
  • IMAP
  • HTTP
  • SMTP
  • EAS
• System Information:
  • Computer Name
  • Current User Name
  • OS Version
  • Product Version
  • Processor Information

マルウェアは、以下のブラウザから、ユーザ名、パスワードやホスト名といった保存された情報を収集します。

• Opera
• Yandex Browser
• Purple
• Comodo Dragon
• Chromium
• Internet Explorer
• Google Chrome
• Brave
• Mozilla Seamonkey
• Mozilla Firefox

マルウェアは、保存されている以下のEメール認証情報を収集します。

• Mozilla Thunderbird
• Microsoft Outlook