BKDR64_TELEBOT.VBS

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。 マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成し実行します。

• %User Temp%\~DF{random}.bat ← used to update/delete itself; deleted afterwards

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

自動実行方法

マルウェアは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\Windows Defender (if running as Admin)
Start = "2"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\Windows Defender (if running as Admin)
ErrorControl = "0"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\Windows Defender (if running as Admin)
ImagePath = "%System%\cmd.exe /c {malware path and filename}"

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run (if not running as Admin)
csrss.exe = "{malware path and filename}"

マルウェアは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\Windows Defender (if running as Admin)

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• kernel32.dll - Execute shell command w/o feedback
• ws2_32.dll - Execute file remotely across network
• wscapi.dll - Execute shell command w/ feedback
• wsock32.dll - Decode date and save to file
• CertEnroll.dll - Update self
• ddraw.dll - Get malware version
• esent.dll - Set sleep time
• imapi2.dll - Terminate itself
• mscoree.dll - Delete and terminate itself
• netapi32.dll - Upload file

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• https://{BLOCKED}.{BLOCKED}.37.3/services/nl-nl/power-bi-embedded/wt_mc_id/azuremktg_hp_powerbiembedded
• https://{BLOCKED}.{BLOCKED}.37.3/store/mseea/nl_NL/cat/Accessoires/categoryID_66233400?p={params}
  where {params} is encoded string of the following data:
  • m={mac_address}&n={hostname}&t={sleeptime}&r={random}

情報収集

マルウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

• https://{BLOCKED}.{BLOCKED}.37.3/store/mseea/nl_NL/cat/Back-to-School/categoryID_68073200

その他

マルウェアは、以下のファイルを作成します。

• %User Temp%\~DF{random}.tmp ← downloaded files; log files; deleted afterwards

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)