BKDR64_KVNDM.E

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。 マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。 ただし、情報公開日現在、このWebサイトにはアクセスできません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• Global\fmaopkf

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Gather System Information
  • System Language
  • Computer Name
  • OS Information (Architecture, Version)
  • Host Name
  • Processor Information
  • Current Memory Usage
  • Administrative Status
  • Driver Information (Letter, Type, Diskspace)
  • User Name
  • Removable Drives Connected
  • Ip Configuration
  • List Of Program Files
  • System Information (from systeminfo.exe)
  • SETAPI.Dev.Log Files
• Create Arbitrary Processes
• Execute arbitrary Power shell commands
  • Uses the command: "powershell –encodedcommand {data/code}"
• Download/Execute Arbitrary Plugins
• Uninstall itself
  • Drops and executes the following:
    • %User Temp%\xxm{random}.bat <- used to delete itself, deleted afterwards
• Change the Interval of activity time
• Change the C&C URL accessed
• Download and Execute arbitrary files
• Perform custom mimikatz metasploit commands
• Use “espia” commands to gather the following information:
  • Clipboard dump
  • Keyboard dump
  • Video/Image dump
• Use “stdapi” commands to execute the following:
  • Sleep
  • Shell commands
  • List Arbitrary Files/Drives/Directories
  • Upload/Download arbitrary files
  • Create, Delete, and Navigate through Files/Directories

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• http://{BLOCKED}i.{BLOCKED}n.com/howto/img/index.php?h={random hex value}&o=0&w={hex value based on system information}&a={communication type = (0/1/2)}&y=20000

ただし、情報公開日現在、このWebサイトにはアクセスできません。

その他

• システム情報の収集
  • システム言語
  • コンピュータ名
  • オペレーティングシステム（OS）の情報（アーキテクチャ、バージョン）
  • ホスト名
  • プロセッサ情報
  • 現在のメモリ使用量
  • 管理ステータス
  • ドライバ情報（レター、タイプ、ディスク空き容量）
  • ユーザ名
  • 接続されたリムーバブルドライブ
  • IP設定
  • プログラムファイルのリスト
  • システム情報（systeminfo.exeから）
  • SETAPI.Dev.Logファイル
• 任意のプロセスを作成する
• 任意のPowershellコマンドを実行する
  • コマンド"powershell -encodedcommand {data / code}"を利用
• 任意のプラグインをダウンロードして実行する
• 自身のアンインストール
  • 以下を作成して実行します。
    ％User Temp％\ xxm {random} .bat < - 自身を削除するために利用され、その後削除される
• 活動時間の間隔を変更する
• アクセスされたコマンド＆コントロール（C&C）サーバのURLを変更する
• 任意のファイルをダウンロードして実行する
• カスタムmimikatz metasploitコマンドを実行する
• "espia"コマンドを利用して、以下の情報を収集します。
  • クリップボード情報をダンプする
  • キー入力操作情報をダンプする
  • 動画および画像をダンプする
• "stdapi"コマンドを利用して以下のコマンドを実行します。
  • スリープ
  • シェルコマンド
  • 任意のファイルやドライブ、ディレクトリの列挙
  • 任意のファイルのアップロードおよびダウンロード
  • ファイルおよびディレクトリの作成、削除、検索

マルウェアは以下を実行します：

• マルウェアには、00:00から24:00までの活動時間が設定されています。

マルウェアは、ルートキット機能を備えていません。

マルウェアは、脆弱性を利用した感染活動を行いません。