Backdoor.Win32.PIKABOT.C

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスを追加します。

• %System%\SearchProtocolHost.exe → legitimate executable where it will inject the Pikabot core module
• whoami.exe /all
• ipconfig.exe /all
• netstat.exe -aon

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• {A77FC435-31B6-4687-902D-24153579C738}

情報漏えい

マルウェアは、以下の情報を収集します。

• OS Version
• Build Number
• Product Number
• User Name
• Computer Name
• CPU Name
• System Uptime
• GPU Name
• RAM Amount
• Screen Resolution
• Domain Controller Name
• Domain Controller Address
• Network Information
• User/Groups Information
• Running Processes

情報収集

マルウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

• http://{BLOCKED}.{BLOCKED}.{BLOCKED}.55:2225/cervicobrachial/oIP7xH86DZ6hb?vermixUnintermixed=beatersVerdigrisy&backoff=9zFPSr
• http://{BLOCKED}.{BLOCKED}.{BLOCKED}.25:2967/cervicobrachial/oIP7xH86DZ6hb?vermixUnintermixed=beatersVerdigrisy&backoff=9zFPSr
• http://{BLOCKED}.{BLOCKED}.{BLOCKED}.01:13720/cervicobrachial/oIP7xH86DZ6hb?vermixUnintermixed=beatersVerdigrisy&backoff=9zFPSr
• http://{BLOCKED}.{BLOCKED}.{BLOCKED}.100:13721/cervicobrachial/oIP7xH86DZ6hb?vermixUnintermixed=beatersVerdigrisy&backoff=9zFPSr
• http://{BLOCKED}.{BLOCKED}.{BLOCKED}.139:2222/cervicobrachial/oIP7xH86DZ6hb?vermixUnintermixed=beatersVerdigrisy&backoff=9zFPSr
• http://{BLOCKED}.{BLOCKED}.{BLOCKED}.156:2078/cervicobrachial/oIP7xH86DZ6hb?vermixUnintermixed=beatersVerdigrisy&backoff=9zFPSr
• http://{BLOCKED}.{BLOCKED}.{BLOCKED}.190:2223/cervicobrachial/oIP7xH86DZ6hb?vermixUnintermixed=beatersVerdigrisy&backoff=9zFPSr

その他

マルウェアは、以下を実行します。

• After sending the gathered information, the malware's behavior will depend on the response of the C&C server. However, as of this writing, the said sites are inaccessible
• It checks if the following virtual machine, sandbox, or security program related module(s) is loaded in the affected system:
  • cmdvrt.32.dll
  • cmdvrt.64.dll
  • dbghelp.dll
  • cuckoomon.dll
  • pstorec.dll
  • avghookx.dll
  • avghooka.dll
  • snxhk.dll
  • api_log.dll
  • dir_watch.dll
  • wpespy.dll
  • kernel32.dll
  • networkexplorer.dll
  • NlsData0000.dll
  • NetProjW.dll
  • Ghofr.dll
  • fg122.dll
• It terminates if the system default language is one of the following:
  • Russian
  • Ukrainian