BKDR64_SEDNIT.A

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• {dropped file path}\advstorshell.dll - detected as BKDR64_SEDNIT.A
• %User Temp%\tmp.dat - contains systeminfo results
• %User Temp%\__4964tmp.dat - contains encryption key
• {dropped file path}\nttmp.dat - backup of advstorshell.dll if it is already existing in the {dropped file path}

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• DerNaTcMt

マルウェアは、感染コンピュータ上のメモリに以下のプロセスを確認すると、自身を終了します。

• netsniffer.exe
• windump.exe
• winapioverride32.exe
• tcpview.exe
• vboxservice.exe
• procexp.exe
• wireshark.exe
• regmon.exe
• procmon.exe
• iris.exe
• petools.exe
• filemon.exe
• vboxtray.exe
• tcpdump.exe
• apimonitor.exe
• odb.exe
• apispy32.exe
• comview.exe
• winspy.exe
• vmtools.exe
• vmwaretray.exe
• immunitydebugger.exe
• syser.exe
• dumpcap.exe
• vmwareuser.exe
• idag64.exe
• ollydbg.exe
• windbg.exe
• idag.exe

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
AdvanceStorageShell = "RUNDLL32.EXE "{dropped file path}\advstorshell.dll,InitW""

他のシステム変更

マルウェアは、インストールの過程で、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer
Path = "{encrypted CnCs, computer name and OS version}"

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Explorer
Path = "{encrypted CnCs, computer name and OS version}"

HKEY_LOCAL_MACHINE\Software\Classes\
CLSID\{2D876AE9-4412-7513-29A6-9436AE031980}\InProcServer32
Default = "{dropped file path}\advstorshell.dll"

HKEY_LOCAL_MACHINE\Software\Classes\
CLSID\{2D876AE9-4412-7513-29A6-9436AE031980}\InProcServer32
Threading Model = Apartment

マルウェアは、インストールの過程で、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\Software\Classes\
CLSID\{2D876AE9-4412-7513-29A6-9436AE031980}\InProcServer32

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Downloads and execute arbitrary files

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• http://{BLOCKED}rvice24.net/update
• http://[BLOCKED}oftware24.com/update
• http://{BLOCKED}pc.org/update

マルウェアは、コマンド＆コントロール（C&C）サーバに以下の情報を通知します。

• Computer name
• OS version
• Running processes
• System information (result of systeminfo command)
• Drive(s) information
• Keylog
• Registry information