Backdoor.Win64.SNIPBOT.THIBFBD

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• keyprov.dll
• single.dll
• %AppDataLocal%/temp.cmd

(註：%AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)

マルウェアは、以下のプロセスを追加します。

• %AppDataLocal%temp.cmd %AppDataLocal%\Local\KeyStore
• cmd /C taskkill /f /im explorer.exe && start explorer.exe → restart Explorer

(註：%AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• SnipMutex

他のシステム変更

マルウェアは、インストールの過程で、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\SOFTWARE\AppDataHigh\
Software
state1 = single.dll

バックドア活動

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• {BLOCKED}eapi.com

情報漏えい

マルウェアは、以下の情報を収集します。

• Computer / Domain name
• MAC address
• Windows build number
• If Windows server

その他

マルウェアは、自身の不正活動を実行する際、以下の文字列またはレジストリ値を追加します。

• HKEY_Current_User\SOFTWARE\AppDataHigh\Software
• HKEY_Current_User\SOFTWARE\AppDataHigh
• HKEY_Current_User\SOFTWARE\Classes\CLSID\{SID}\InprocServer32

マルウェアは、以下を実行します。

• It connects to the C2 server to download earlier versions of the following payloads and inject it into Explorer:
  • keyprov.dll
  • single.dll
• It decrypts and execute the DLL payloads downloaded from the C2 server.
• It listens on port 1342 for the following incoming string commands sent over TCP.