Backdoor.Win32.PLUGX.EYSGVW

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、すべてのリムーバブルドライブ内に自身のコピーを作成します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のフォルダを追加します。

• %All Users Profile%\AvastSvcyHA → if it executes without a {random numbers} in the commandline
• {Drive}\RECYCLER.BIN
• {Drive}\RECYCLER.BIN\1
• {Drive}\RECYCLER.BIN\{RANDOM}
• %Application Data%\Intel

(註：%All Users Profile%フォルダは、ユーザの共通プロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\All Users” です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData” です。. %Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

マルウェアは、以下のファイルを作成します。

• %All Users Profile%\AvastSvcyHA\AvastSvc.exe→ if it executes without {random numbers} in the commandline
• %All Users Profile%\AvastSvcyHA\wsc.dll→ if it executes without {random numbers} in the commandline
• %All Users Profile%\AvastSvcyHA\AvastAuth.dat → if it executes without {random numbers} in the commandline

(註：%All Users Profile%フォルダは、ユーザの共通プロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\All Users” です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData” です。)

マルウェアは、以下のプロセスを追加します。

• %All Users Profile%\AvastSvcyHA\AvastSvc.exe {Random Numbers} → if it executes without {random numbers} in the commandline

(註：%All Users Profile%フォルダは、ユーザの共通プロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\All Users” です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData” です。)

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• GJsgXZYVrgqcUMNVXzvU
• USB_NOTIFY_INF_{Drive}
• USB_NOTIFY_COP_{Drive}

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
AvastSvcyHA = "%All Users Profile%\AvastSvcyHA\AvastSvc.exe" {Random Numbers} → if it executes without {random numbers} in the commandline

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
AvastSvcyHA = "%All Users Profile%\AvastSvcyHA\AvastSvc.exe" {Random Numbers} → if it executes without {random numbers} in the commandline

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
ms-pu
CLSID = {hex values}

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Control\Network
Version = 1 → if commandline is -net

HKEY_CURRENT_USER\System\CurrentControlSet\
Control\Network
Version = 1 → if commandline is -net

マルウェアは、以下のレジストリ値を変更します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
Hidden = 0

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
ShowSuperHidden = 0

感染活動

マルウェアは、すべてのリムーバブルドライブ内に自身のコピーを作成します。

マルウェアは、感染コンピュータ上にフォルダやファイルに偽装したショートカットファイル（拡張子「LNK」）を作成して自身のコピーへ誘導します。

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Get system information
• Start pipe communication
• Echo back given input
• Exit process
• Get disk information
• Manage file (query, read, write, delete, copy, rename, move)
• Create directory
• Get expanded environment variable
• Get malware directory
• Execute arbitrary command

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• {BLOCKED}.{BLOCKED}.226.100

プロセスの終了

マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• AdobeHelper.exe
• AdobeUpdates.exe
• AdobeUpdate.exe
• AdobeARM.exe
• AAM Update.exe
• AAM Updates.exe

情報漏えい

トロイの木馬化されたアプリケーションが実行されると、[Malware]は、以下の情報を収集します。

• Results of the following commands:
  
  • systeminfo (Details about the operating system and the system hardware and software components)
  • ipconfig (Details about current TCP/IP network configuration)
  • netstat (Details about current TCP connections)
  • arp (Details about local ARP cache)
  • tasklist (Details about running processes)

マルウェアは、以下のパラメータを受け取ります。

• -net → set the value of key registry “System\CurrentControlSet\Control\Network\Version” to “1”

その他

マルウェアは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
ms-pu

HKEY_USER\{SID}_CLASSES\ms-pu

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
ms-pu\PROXY

マルウェアは、以下のWebサイトにアクセスしてインターネット接続を確認します。

• https://www.microsoft.com

マルウェアは、以下を実行します。

• It deletes all files found in the folder of the terminated process.
• It deletes the folder of the terminated process.
• It modifies {Drive}\RECYCLER.BIN to point to the system's Recycle Bin
• It drops the following files inside {Drive}\RECYCLER.BIN\1:
  
  • CEFHelper.exe (Copy of the parent executable that loaded the malware)
  • wsc.dll (Copy of the malware)
  • AvastAuth.dat (Copy of the encrypted component needed to execute the malware)
• It drops the following files inside {Drive}\RECYCLER.BIN\{RANDOM}:
  
  • tmp.bat (Contains commands to query system information)
  • c3lzLmluZm8 (Contains results of queried system information)
  • {Base64-Encoded Filenames} (Encrypted version of files with the extensions .doc, .docx, .ppt, .pptx, .xls, .xlsx, .pdf)
• It hides the normal counterpart of the malicious shortcut files created in the removable drives.