Backdoor.Win32.TERRALOADER.A

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。 マルウェアは、リモートサイトから他のマルウェア、グレイウェアまたはスパイウェアにダウンロードされ、コンピュータに侵入します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。 マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。

マルウェアは、実行後、自身を削除します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、リモートサイトから他のマルウェア、グレイウェアまたはスパイウェアにダウンロードされ、コンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %ProgramData%\Microsoft\{random characters}.txt <- JavaScript used to execute the other .txt dropped file
• %ProgramData%\Microsoft\{random characters}.txt <- contains malicious XSL backdoor script

(註：%ProgramData%フォルダは、マルチユーザーシステムにおいて任意のユーザがプログラムに変更を加えることができるプログラムファイルフォルダのバージョンです。これには、すべてのユーザのアプリケーションデータが含まれます。Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData" です。Windows Server 2003(32-bit)、2000(32-bit)、XPの場合、通常 "C:\Documents and Settings\All Users" です。 )

マルウェアは、以下の無害なファイルを作成します。

• %ProgramData%\Microsoft\msxsl.exe

(註：%ProgramData%フォルダは、マルチユーザーシステムにおいて任意のユーザがプログラムに変更を加えることができるプログラムファイルフォルダのバージョンです。これには、すべてのユーザのアプリケーションデータが含まれます。Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData" です。Windows Server 2003(32-bit)、2000(32-bit)、XPの場合、通常 "C:\Documents and Settings\All Users" です。 )

マルウェアは、以下のプロセスを追加します。

• %ProgramData%\Microsoft\msxsl.exe {filename of XSL backdoor script}.txt {filename of XSL backdoor script}.txt

(註：%ProgramData%フォルダは、マルチユーザーシステムにおいて任意のユーザがプログラムに変更を加えることができるプログラムファイルフォルダのバージョンです。これには、すべてのユーザのアプリケーションデータが含まれます。Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData" です。Windows Server 2003(32-bit)、2000(32-bit)、XPの場合、通常 "C:\Documents and Settings\All Users" です。 )

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Notepad
{Computer name} = {scheduled task name},{filename of XSL backdoor script},{filename of JavaScript file}

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• d&exec - download and execute PE file
• more_eggs - update itself
• gtfo - uninstall itself
• more_onion - execute additional script
• more_power - execute arbitrary commands

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• https://drive.{BLOCKED}content.kz/drive/info

情報漏えい

マルウェアは、以下の情報を収集します。

• Computer Serial Number
• Hardware Information
• Volume Label and Volume Serial Number of %HOMEDRIVE%
• List of AV Products Installed
• User Name
• Computer Name
• OS Version
• OS Product Type
• OS Build
• OS Architecture
• IPv4 Address
• Bot Version

情報収集

マルウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

• https://drive.{BLOCKED}content.kz/drive/info

その他

マルウェアは、以下のWebサイトにアクセスしてインターネット接続を確認します。

• http://www.w3.org/1999/XSL/Format

マルウェアは、以下の不正なWebサイトにアクセスします。

• http://{BLOCKED}.{BLOCKED}.8.8/{random string}

マルウェアは、以下を実行します。

• It will not execute its malicious routines if any of the following is not satisfied:
  • year is 2019
  • file extension of running malware process is .ocx
  • malware process is running as regsvr32.exe

マルウェアは、実行後、自身を削除します。

以下のスケジュールされたタスクを追加します：

• Task Name: {random characters}
• Trigger: At system boot; executes indefinitely
• Action: cscripT /B /e:jsCript {filename of JavaScript file}.txt