Backdoor.Win64.KIVARS.AA

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、ワーム活動の機能を備えていません。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

マルウェアは、感染コンピュータや感染ユーザから特定の情報を収集します。 マルウェアは、ユーザのキー入力操作情報を記録し、情報を収集します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %User Temp%\win9809.tmp -> encrypted file containing keylogged keystrokes

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• AAA%332^*7

感染活動

マルウェアは、ワーム活動の機能を備えていません。

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Get Idle Time
• Send Keylogged File Contents
• Delete Keylogged File
• Get Drives' Type
• Find File/s Or Folder/s names and timestamp
• Download Component File
• Start Process
• Delete File
• Create Directory
• Execute Command
• Delete Directory
• Show Window
• Destroy Window
• Set Window to Foreground
• Hide Window
• Set Window Text
• Get Screen Resolution
• Take a screenshot
• Send Mouse Input
• Send keyboard Input
• Terminate Process
• Enumerate Processes
• Read Data from Pipe Connection
• Write to File
• Get PC Name, OS Version, and User Name

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• http://{BLOCKED}.{BLOCKED}.92.110:443

ルートキット機能

マルウェアは、ルートキット機能を備えていません。

ダウンロード活動

マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %User Temp%\werfc0908.dat -> encrypted component file loaded by the malware

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

情報漏えい

マルウェアは、以下の情報を収集します。

• Computer Name
• User Name
• IPv4 Address
• Current Process ID
• Volume Information
• Locale Info
• Keyboard Layout Name
• The following environment paths of the machine:
  • %Application Data%\Microsoft\Windows\Recent
  • %Desktop%
  • %User Profile%\Documents

(註：%User Profile%フォルダは、現在ログオンしているユーザのプロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞" です。)

マルウェアは、ユーザのキー入力操作情報を記録し、情報を収集します。

その他

マルウェアは、脆弱性を利用した感染活動を行いません。

＜補足＞
インストール

マルウェアは、以下のファイルを作成します。

• %User Temp%\win9809.tmp → キーロガーを用いて収集されたキー入力操作情報を含む暗号化されたファイル

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• アイドル時間の取得
• キー入力操作情報を記録したファイルの内容の送信
• キー入力操作情報を記録したファイルの削除
• ドライブの種類の取得
• ファイルまたはフォルダの名前、およびタイムスタンプの検索
• コンポーネントファイルのダウンロード
• プロセスの開始
• ファイルの削除
• ディレクトリの作成
• コマンドの実行
• ディレクトリの削除
• ウィンドウの表示
• ウィンドウの破棄
• ウィンドウの前面表示設定
• ウィンドウを隠す
• ウィンドウのテキストの設定
• スクリーン解像度の取得
• スクリーンショットの取得
• マウス入力の送信
• キーボード入力の送信
• プロセスの終了
• プロセスの列挙
• パイプ接続からデータの読み取り
• ファイルへの書き込み
• PC名、OSのバージョン、およびユーザ名の取得

ダウンロード活動

マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %User Temp%\werfc0908.dat → マルウェアによって読み込まれる暗号化されたコンポーネントファイル

情報漏えい

マルウェアは、以下の情報を収集します。

• コンピュータ名
• ユーザ名
• IPv4アドレス
• カレントプロセスID
• ボリューム情報
• ロケール情報
• キーボードレイアウトの名称
• 以下のコンピュータの環境パス：
  • %Application Data%\Microsoft\Windows\Recent
  • %Desktop%
  • %User Profile%\Documents