Backdoor.Win32.SAGRUNEX.E

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、不正リモートユーザからリモートで受信する特定のコマンドを実行します。これにより、感染コンピュータおよび同コンピュータ上の情報は危険にさらされることとなります。 マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。 ただし、情報公開日現在、このWebサイトにはアクセスできません。

マルウェアは、イベントを作成します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %Application Data%\Microsoft\Protect\Windows\DMI86229.DAT → Contains the encrypted configuration and URL/IP's

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

マルウェアは、以下のフォルダを作成します。

• %Application Data%\Microsoft\Protect\Windows

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Execute commands and executables
• Write Files
• Read Files
• Update Configuration
• Upload Configuration Data

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• https://{BLOCKED}.{BLOCKED}.67.199/{generated value}
• https://{BLOCKED}.{BLOCKED}.153.236/{generated value}
• https://www.{BLOCKED}rmantic.com/{generated value}
• https://www.{BLOCKED}olisa.com/{generated value}

ただし、情報公開日現在、このWebサイトにはアクセスできません。

その他

マルウェアは、以下を実行します。

• It attempts to connect to its C&C using the following methods:
  • Via Configured Proxy
  • Via Web Proxy Auto-Discovery Protocol
  • Via Internet Explorer Proxy
  • Via Firefox Proxy
  • Via Auto Proxy
  • Via Pre-Configured Proxy

マルウェアは、以下のイベントを作成します。

• Local\{B47D655A-66F9-4A3C-BCE1-75ACBF3821C}