BKDR_CARBANAK.C

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

これは、「CARBANAK」の最新の亜種で、不正なMicrosoft Windowsクライアントに関連していると報告されています。「CARBANAK」は、銀行や金融機関を攻撃するマルウェアのファミリです。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。 マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。

マルウェアは、実行後、自身を削除します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %All Users Profile%\Application Data\Mozilla\svchost.exe - for Windows XP and prior OS versions
• %ProgramData%\Mozilla\svchost.exe - for Windows Vista and later OS versions

(註：%All Users Profile%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\All Users”、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\ProgramData” です。.. %ProgramData%フォルダは、Windows Vista および 7 の場合、通常、"C:\ProgramData"、Windows 2000、XP (32ビット)、Server 2003 の場合、"C:\Program Files"、Windows XP (64ビット) の場合、"C:\Program Files (x86)" です。)

マルウェアは、以下のフォルダを作成します。

• %All Users Profile%\Application Data\Mozilla - for Windows XP and later OS versions
• %ProgramData%\Mozilla - for Windows 7 and later OS versions

(註：%All Users Profile%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\All Users”、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\ProgramData” です。.. %ProgramData%フォルダは、Windows Vista および 7 の場合、通常、"C:\ProgramData"、Windows 2000、XP (32ビット)、Server 2003 の場合、"C:\Program Files"、Windows XP (64ビット) の場合、"C:\Program Files (x86)" です。)

マルウェアは、以下のプロセスにコードを組み込みます。

• created svchost.exe

自動実行方法

マルウェアは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{random service name}Sys
ImagePath = "%ProgramData%\Mozilla\svchost.exe - for Windows Vista and later OS versions"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{random service name}Sys
ImagePath = "%All Users Profile%\Application Data\Mozilla\svchost.exe - for Windows XP and prior OS versions"

マルウェアは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\{random service name}Sys

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Capture and send screenshots
• Capture and send video
• Download configuration file
• Download and execute arbitrary files
• Download third party remote desktop protocol software that will be used for remote access
• Update itself
• Restart the machine
• Check state of malware

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• http://{BLOCKED}.{BLOCKED}.167.28:443

マルウェアは、コマンド＆コントロール（C&C）サーバに以下の情報を通知します。

• OS version
• number of processors
• computer name
• username
• current time

その他

マルウェアは、以下のファイルを作成します。

• %All Users Profile%\Application Data\Mozilla\{random file name}.bin - for Windows XP and prior OS versions
• %Program Data%\Mozilla\{random file name}.bin - for Windows Vista and laterr OS versions

(註：%All Users Profile%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\All Users”、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\ProgramData” です。.)

マルウェアは、実行後、自身を削除します。

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %All Users Profile%\Application Data\Mozilla\svchost.exe - Windows XPおよびそれ以前OSの場合
• %ProgramData%\Mozilla\svchost.exe - Windows Vistaおよびそれ以降のOSの場合

マルウェアは、以下のフォルダを作成します。

• %All Users Profile%\Application Data\Mozilla - Windows XPおよびそれ以前OSの場合
• %ProgramData%\Mozilla - Windows Vistaおよびそれ以降のOSの場合

マルウェアが実行する不正リモートユーザからのコマンドは以下のとおりです。

• スクリーンショットのキャプチャおよび送信
• 動画のキャプチャおよび送信
• 環境設定ファイルのダウンロード
• 任意のファイルのダウンロードおよび実行
• リモートアクセスに利用するサードパーティのリモートデスクトッププロトコルのソフトウェアをダウンロード
• 自身のアップデート
• コンピュータの再起動
• マルウェアの状態の確認

マルウェアがコマンド＆コントロール（C&C）サーバに通知する情報は以下のとおりです。

• オペレーティングシステム（OS）
• プロセッサの数
• コンピュータ名
• ユーザ名
• 現在の日時

マルウェアは、以下のファイルを作成します。

• %All Users Profile%\Application Data\Mozilla\{random file name}.bin - Windows XPおよびそれ以前OSの場合
• %Program Data%\Mozilla\{random file name}.bin - indows Vistaおよびそれ以降のOSの場合

作成されたコンポーネントは、バックドアコマンドを含んでいます。