BKDR_ALINA.POSKAT

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

これはPOSマルウェア「Katrina」の検出名です。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

• %Application Data%\usercache\{file name}.exe

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

マルウェアは、以下のファイルを作成します。

• %Application Data%\bootstrap - encrypted copy of itself

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Microsoft\Windows\
CurrentVersion\Run
{file name} = "%Application Data%\usercache\{file name}.exe

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
DownloadManager

マルウェアは、インストールの過程で、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion
identifier = "{random 6 letters}"

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Update itself
• Change interval of update requests
• Change interval of card data exfiltration
• Enable/Disable logging
• Download and execute other malware

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• http://www.{BLOCKED}es777.ru/x1/settings.php

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスし、不正なファイルをダウンロードして実行します。

• http://{BLOCKED}.{BLOCKED}.178.109/file/32.exe - detected as TSPY_POSNEWT.B
• http://{BLOCKED}.{BLOCKED}.178.109/file/64.exe - detected as TSPY64_POSNEWT.B

マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %Application Data%\{random file name}.exe

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

マルウェアが作成する以下のファイルは、暗号化された自身のコピーです。

• %Application Data%\bootstrap

マルウェアが実行する不正リモートユーザからのコマンドは以下のとおりです。

• 自身の更新
• 更新を要求する周期の変更
• カード情報を抽出する周期の変更
• ロギングの有効および無効
• マルウェアのダウンロードおよび実行

マルウェアが以下のWebサイトにアクセスし、ダウンロードして実行する不正なファイルは、「TSPY_POSNEWT.B」として検出されます。

• http://{BLOCKED}.{BLOCKED}.178.109/file/32.exe

マルウェアが以下のWebサイトにアクセスし、ダウンロードして実行する不正なファイルは、「TSPY64_POSNEWT.B」として検出されます。

• http://{BLOCKED}.{BLOCKED}.178.109/file/64.exe

マルウェアは、以下の名称のパイプを作成します。

• \.\\pipe\Katrina{random 6 letters}

{file name} には以下のいずれかが当てはまります。

• svchost
• java
• jusched
• jucheck
• desktop
• adobeflash
• win-firewall
• dwm
• testing
• userinit
• windefender

マルウェアは、すべての実行中プロセスのメモリをスキャンし、カードトラックデータを取得します。

マルウェアは、以下のプロセスのスキャンをスキップします。

• AKW.exe
• QML.exe
• spoolsv.exe
• taskmgr.exe
• wscntfy.exe
• alg.exe
• winlogon.exe
• lsass.exe
• dllhost.exe
• services.exe
• pidgin.exe
• skype.exe
• thunderbird.exe
• devenv.exe
• steam.exe
• wininit.exe
• csrss.exe
• smss.exe
• iexplore.exe
• firefox.exe
• chrome.exe
• explorer.exe

マルウェアは、以下の「ユーザエージェント（User Agent、UA）」を利用します。

• Mozilla/5.0 (Windows NT 6.1; WOW64; rv:5.0) Gecko/20100101 Firefox/5.0