Backdoor.Win32.REMCOS.USMANEAGFO

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のフォルダを追加します。

• %Application Data%\remcos\

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %AppDataLocal%\Uyxl\Uyxltrn.exe

(註：%AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)

マルウェアは、以下のファイルを作成します。

• %Desktop%\{malware filename minus last 7 characters} -> jpg file
• %AppDataLocal%\Uyxl\Uyxl -> copy of jpg file dropped in %Desktop%
• %AppDataLocal%\Uyxl\Uyxlmes.vbs -> script to run executable malware copy
• %AppDataLocal%\Uyxl\Uyxl_steo.hta -> script to run vbs file
• %User Temp%\uninstall.vbs -> uninstalls the malware
• %User Temp%\update.vbs -> updates the malware
• %User Temp%\restart.vbs -> restarts the malware
• %Application Data%\remcos\logs.dat -> record of user keystrokes
• %User Temp%\install.vbs -> installs the malware
• %Application Data%\remcos\remcos.exe

(註：%Desktop%フォルダは、現在ログオンしているユーザのデスクトップです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Desktop" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\Desktop" です。. %AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。. %User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• Uyxl
• Remcos_Mutex_Inj
• Remcos-JTF5PJ
• Mutex_RemWatchdog

マルウェアは、以下のプロセスにコードを組み込みます。

• %System%\TapiUnattend.exe
• %System%\svchost.exe

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Uyxl = %AppDataLocal%\Uyxl\Uyxl_steo.hta

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Policies\Run
remcos = %Application Data%\remcos\remcos.exe

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Remcos-JTF5PJ
exepath = {hex values}

HKEY_CURRENT_USER\Software\Remcos-JTF5PJ
licence = {random}

HKEY_CURRENT_USER\Software\Remcos-JTF5PJ
WD = 3492

HKEY_CURRENT_USER\Software\Remcos-JTF5PJ
pth_unenc = %System%\TapiUnattend.exe

HKEY_CURRENT_USER\Software\Remcos-JTF5PJ
v = 2.5.0 Pro

バックドア活動

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• sdfklxcjv8r89234uijxdzsfsrfwdfsdf.{BLOCKED}c.net

情報漏えい

マルウェアは、以下の情報を収集します。

• Computer name
• User name
• Home drive
• Logon server
• Processor architecture
• Windows version
• System type (x64, x86)
• User access (if admin or not)
• Memory information
• Browser logins and cookies
• User keystrokes
• Session name
• User profile
• User domain

その他

このマルウェアのコードから、マルウェアは、以下の機能を備えています。

• Delete files
• Rename files
• Upload files
• Download files
• Browse directories
• Obtain file/directory attributes
• Execute files
• Open files
• Activate keylogger
• Copy and paste text to and from clipboard
• Create shortcuts
• Retrieve logins and cookies from the following browsers:
  • Google Chrome
  • Mozilla Firefox
  • Internet Explorer
• Ping an address
• Display a messagebox
• Shutdown machine
• Put machine to sleep
• Terminate processes
• Perform registry changes
• Display image
• Play alarm
• Play/record audio
• List windows
• Send keyboard/mouse input
• Execute shell commands
• Open the command prompt
• Open the event viewer
• Use the camera