Backdoor.Win64.ANCHOR.A

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

これは、バンキングマルウェア「Trickbot」の作成者によって開発されたと考えられるポストエクスプロイトツールキット「PowerTrick」によってインストールされたバックドア型マルウェアに対する検出名です。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成し実行します。

• {Malware Path}\{Malware Name}.exe:$FILE → contains {Malware Path}\{Malware Name}.exe
• {Malware Path}\{Malware Name}.exe:$GUID → contains /anchor_dns/{Workstation Name}_{Windows Version}.<{32-character long client ID}>/[0-1]/{Content}\xb[0-9]
• {Malware Path}\{Malware Name}.exe:$TASK → contains "{string1} autoupdate#{5 Random Numbers}.xml"
  
  • {string1} can be any of the folders found on %Application Data%
• "{string1} autoupdate#{5 Random Numbers}".xml → a task scheduler that executes the malware sample with parameter -u every fifteenth minute

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

その他

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• {Obfuscated Message Type + UUID}{Content}.{BLOCKED}ivo.com
  
  • where Message Type can be any of the following:
    
    • Type 0 (Sending of Data)
    • Type 1 (Preparation for receival of Data)
    • Type 2 (Receiving of Data)

以下のスケジュールされたタスクを追加します：

• Task Name: {string1} autoupdate#{5 Random Numbers}
• Trigger: At log on of any user; At 8:38PM every day for every 15 minutes for a duration of 1 day. Both trigger expires at 12/31/2028 11:59:59PM
• Action: Starts a program → %User Temp%\{Malware Name}.exe -u
  
  • -u will perform standard communication with C2 server using subdomain names to send data and resolved IPs as receival of data

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

<補足>
インストール

マルウェアは、以下のファイルを作成し実行します。

• {マルウェアパス}\{マルウェア名}.exe:$FILE → {マルウェアパス}\{マルウェア名}.exeを含む
• {マルウェアパス}\{マルウェア名}.exe:$GUID → /anchor_dns/{ワークステーション名}_{Windowsのバージョン}.<{32文字のクライアントID}>/[0-1]/{コンテンツ}\xb[0-9]を含む
• {マルウェアパス}\{マルウェア名}.exe:$TASK → "{文字列1} autoupdate#{ランダムな数字5文字}.xml"を含む
  • 上記の{文字例1}には、%Application Data% 上に存在するいずれかのフォルダが当てはまります。
• "{文字列1} autoupdate#{ランダムな数字5文字}".xml → パラメータ「-u」を用いてマルウェアを 15 分毎に実行するタスクスケジューラ

その他

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• {難読化されたメッセージタイプ + UUID}{コンテンツ}.{BLOCKED}ivo.com
  • 上記のメッセージタイプには、以下のいずれかが当てはまります。
    • Type 0 (データの送信)
    • Type 1 (データの受信準備)
    • Type 2 (データの受信)

  以下のスケジュールされたタスクを追加します。

  • タスク名: {文字列1} autoupdate#{ランダムな数字5文字}
  • トリガ: ユーザのログオン時または毎日午後 8 時 38 分、15 分毎に 1 日間。どちらのトリガも 2028 年 12 月 31 日午後 11 時 59 分 59 秒に期限が切れます。
  • アクション: プログラムの開始 → %User Temp%\{マルウェア名}.exe -u
    • パラメータ「-u」は、サブドメイン名を使ってデータを送信し、データの受信として名前解決された IP を用いて、C&Cサーバとの標準通信を実行します。