BKDR_CARBANAK.A

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

マルウェアは、ロシアや米国、ウクライナおよびアジア太平洋地域の国の100以上の銀行や金融機関に被害を与えたと報告された攻撃に関連しています。この攻撃は、2013年に開始されました。

マルウェアは、他のマルウェアに作成され、コンピュータに侵入します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。 マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

マルウェアは、以下のマルウェアに作成され、コンピュータに侵入します。

• TROJ_ARTIEF.NCK

インストール

マルウェアは、以下のプロセスにコードを組み込みます。

• iexplore.exe

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Download arbitrary files
• Download and immediately execute updated copy
• Download and execute updated copy after reboot
• Start SOCKS proxy server
• Stop SOCKS proxy server
• Reboot the system
• Steal cookies
• Delete cookies from browsers
• Uninstall itself
• Download configuration file
• Inject codes to site to monitor sites
• Capture screenshots

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• http://{BLOCKED}.{BLOCKED}.90.193/nbotlogs/debug.php?
  It sends information in the following format: ver={version}&uid={UID}&process={process name}&pid={process ID}&level={value}&error={value}&status={value}&time={value}&message={message ID}&counter={value}&left={value}&data={value}

情報漏えい

マルウェアは、以下の情報を収集します。

• OS version
• number of processors
• computer name
• username
• current time
• windows directory
• system directory
• program files directory
• application data directory
• screenshots

その他

マルウェアが実行する不正リモートユーザからのコマンドは以下のとおりです。

• 任意のファイルをダウンロード
• 更新されたコピーをダウンロードして、即座に実行
• 再起動後、更新されたコピーをダウンロードして、実行
• SOCKSプロキシサーバを開始
• SOCKSプロキシサーバを停止
• コンピュータを再起動
• クッキー情報を収集
• ブラウザのクッキー情報を削除
• 自身のアンインストール
• 環境設定ファイルのダウンロード
• Webサイトにコードを組み込み、監視
• スクリーンショットの取得

マルウェアが収集する情報は、以下のとおりです。

• オペレーティングシステム（OS）のバージョン
• プロセッサの番号
• コンピュータ名
• ユーザ名
• 現在の時刻
• windowsのディレクトリ
• systemのディレクトリ
• program filesのディレクトリ
• application dataのディレクトリ
• スクリーンショット

マルウェアは、以下のブラウザを監視します。

• Firefox
• Google Chrome
• Internet Explorer

環境設定ファイルには、マルウェアが監視するWebサイトおよびプロセスが含まれています。環境設定ファイルが受信されると、マルウェアは以下の活動を実行します。

• 特定のWebサイトにアクセスした際に、スクリーンショットを取得
• 特定のWebサイトにスクリプトを組み込む
• 特定のプロセスを監視