BKDR_CAPHAW.YY

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

マルウェアは、ルートキット機能を備えており、自身に関連したプロセスおよびファイルを隠匿し、ユーザによる検出および削除を避けます。

マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

• %Application Data%\{random folder found}\{filename found in %System%}

(註：%System%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では "C:\Windows\System32" です。)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{random base64 chars} = "%Application Data%\{random folder found}\{filename found in %System%}"

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Remote Desktop / Remote Access
• Download & Upload Files
       DownloadLink:{domain}/files/rar.exe
• Update And Uninstall self
• Download and Load Additional Plugins
       {domain}/files/010-update-qoel9c5ce/hidden7170777.jpg
       {domain}/files/010-update-qoel9c5ce/UK-3_xcv.jpg
• Redirect network traffic
• Monitor Browser Activity

ルートキット機能

マルウェアは、ルートキット機能を備えており、自身に関連したプロセスおよびファイルを隠匿し、ユーザによる検出および削除を避けます。

情報漏えい

マルウェアは、以下の情報を収集します。

• Installed Applications
• Directory and File List
• Drive Information
• Network Information
• User name
• Computer name
• OS Version
• Hardware Information
• Running Processes

その他

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• https://{BLOCKED}fe.cc
• https://{BLOCKED}neinc-inc.net
• https://{BLOCKED}pingllc.org
• https://{BLOCKED}shipping.org
• https://{BLOCKED}to.su/index.php
• https://{BLOCKED}iceshippinginc.net
• https://{BLOCKED}a.su/index.php
• https://{BLOCKED}hip-llc.net
• https://{BLOCKED}9.{BLOCKED}7.42.183
• https://{BLOCKED}2.{BLOCKED}7.48.11
• https://{BLOCKED}9.{BLOCKED}9.83.153
•      Gateway URIs: '/index.php' | '/www5/index.php'