BKDR_CFISH.A

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。 マルウェアは、リモートサイトから他の不正プログラムにダウンロードされ、コンピュータに侵入します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

ただし、情報公開日現在、このWebサイトにはアクセスできません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、リモートサイトから以下の不正プログラムによりダウンロードされ、コンピュータに侵入します。

• TROJ_CFISH.A

インストール

マルウェアは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

• %Application Data%\{Random hex values}\chrome.exe

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

マルウェアは、以下のコンポーネントファイルを作成します。

• %Application Data%\{Random hex values}\{Random values} ← contains the CnC server
• %Application Data%\{Random hex values}\{Random values} ← contains the modules to download(Keylogger|PasswordStealer|ReverseVNC)

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

マルウェアは、以下のフォルダを作成します。

• %Application Data%\{Random Hex Values}

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
chrome = %Application Data%\{Random hex values}\chrome.exe

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
chrome = %Application Data%\{Random hex values}\chrome.exe

マルウェアは、以下のファイルを作成します。

• %User Startup%\chrome.lnk ← Target path = %Application Data%\{Random hex values}\chrome.exe
• %All Users Profile%\Microsoft\Windows\Start Menu\Programs\Startup\chrome.lnk ← For Win7
• %All Users Profile%\Start Menu\Programs\Startup\chrome.lnk ← For WinXP

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.. %All Users Profile%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\All Users”、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\ProgramData” です。.)

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Add, remove, or execute modules
• Download and execute files
• Change CnC server
• Execute commands in command line
• Display a message box
• Shutdown the machine
• Update itself
• Uninstall itself

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• http://{BLOCKED}.{BLOCKED}.88.241:8080/index.php/queue/core?m={id}&token={Random Values}

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスして自身のコンポーネントファイルをダウンロードします。

• http://{BLOCKED}.{BLOCKED}.88.241:8080/index.php/Keylogger/download?token={Random Values}
• http://{BLOCKED}.{BLOCKED}.88.241:8080/index.php/PasswordStealer/download?token={Random Values}
• http://{BLOCKED}.{BLOCKED}.88.241:8080/index.php/ReverseVNC/download?token={Random Values}

ただし、情報公開日現在、このWebサイトにはアクセスできません。

その他

マルウェアが自身の不正活動を実行するためには、以下のファイルが必要になります。

• %User Temp%\GID.dat

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)