BKDR_CRUGUP.AD

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。 マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。

マルウェアは、HTTPポストを経由して、収集した情報を不正リモートユーザに送信します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

• %Application Data%\{Folder Name}\svchost.exe

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

マルウェアは、以下のフォルダを作成します。

• %Application Data%\{Folder Name}

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• GH5K-GKL8-CPP4-DE24

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
z64_kernel = %Application Data%\{Folder Name}\svchost.exe

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
z64_kernel = %Application Data%\{Folder Name}\svchost.exe

他のシステム変更

マルウェアは、インストールの過程で以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\cppguru
mv = "Mi4wNQ==" -> base64 encoded version = 2.05

マルウェアは、以下のレジストリ値を作成し、Windowsのファイアウォールを回避します。

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\SharedAccess\Parameters\
FirewallPolicy\FirewallRules
{GUID} = "v{version number}|Action=Allow|Active=TRUE|Dir=In|App=%Application Data%\{Folder Name}\svchost.exe|Name=madservice|"

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Download and execute file
• Use Internet Explorer to connect remote sites
• Update itself
• Delete itself
• Perform denial of service attacks

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• http://{BLOCKED}otkill.ru/mad/index.php

ただし、情報公開日現在、このWebサイトにはアクセスできません。

ダウンロード活動

マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• -%Application Data%\sqlite3.dll
• -%Application Data%\WinXP.exe

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

情報漏えい

マルウェアは、以下の情報を収集します。

• Volume serial number
• OS version
• If the machine is running with administrative privileges

情報の送信先

マルウェアは、HTTPポストを経由して、収集した情報を不正リモートユーザに送信します。

その他

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• ファイルのダウンロードおよび実行
• IE(Internet Explorer)を利用して、リモートサイトへ接続
• 自身の更新
• 自身の削除
• DoS攻撃の実行

マルウェアは、以下の情報を収集します。

• ボリュームシリアル番号
• OSのバージョン
• コンピュータが管理者権限で実行されているか否か

レジストリ値中の"{Folder Name}"は、"{First 8 digits of the Volume Serial Number(ボリュームシリアル番号の最初の8桁)}"を参照します。

マルウェアは以下のユーザエージェントを利用します。

• Mozilla/5.0 (Windows; U; Windows NT 5.1; en-US; rv:1.8.0.5) Gecko/20060731 Firefox/1.5.0.5 Flock/0.7.4.1
• Mozilla/5.0 (X11; U; Linux 2.4.2-2 i586; en-US; m18) Gecko/20010131 Netscape6/6.01
• Mozilla/5.0 (互換性がある; MSIE 8.0; Windows NT 6.2; Trident/4.0; SLCC2; .NET CLR 2.0.50727; .NET CLR 3.5.30729; .NET CLR 3.0.30729; Media Center PC 6.0)
• Mozilla/5.0 (互換性がある; MSIE 9.0; Windows NT 6.2; Trident/4.0; SLCC2; .NET CLR 2.0.50727; .NET CLR 3.5.30729; .NET CLR 3.0.30729; Media Center PC 6.0)
• Mozilla/5.0 (Windows; U; Windows NT 5.1; en-US; rv:0.9.6) Gecko/20011128
• Mozilla/4.0 (MobilePhone SCP-5500/US/1.0) NetFront/3.0 MMP/2.0 (互換性がある; Googlebot/2.1; http://www.google.com/bot.html)
• Mozilla/4.0 (Windows; U; Windows NT 6.1; nl; rv:1.9.2.3) Gecko/20100401 Firefox/3.6.3
• Mozilla/4.0 (Windows NT 5.1; U; en) Presto/2.5.22 Version/10.50
• Mozilla/4.0 Galeon/1.2.0 (X11; Linux i686; U;) Gecko/20020326
• Opera/10.80 (SunOS 5.8 sun4u; U) Opera 10.8 [en]

マルウェアが以下のファイルを確認できた場合は、感染コンピュータを再起動します。

• ollydbg.ini
• symsrv.dll
• SDRemote.dll
• icedat.dll
• nmtrans.dll
• srcsrv.dll
• symsrv.dll
• ImmunityDebugger.ini
• ida.key
• libdwarf.dll

マルウェアは、以下のファイルを作成します。

• {malware path}\per – 以下の文字列を含み、利用後に削除される
• {registry key} [7] - レジストリキーのフルアクセス許可を作成するため
• {malware path}\perper – 以下の文字列を含み、利用後に削除される
• {registry key} [8] - レジストリキーの読み取りアクセス許可を作成するため
• {registry key} には、以下のいずれかが当てはまります
• HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
• HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run

マルウェアは、以下のコマンドを実行して、レジストリのアクセス許可を変更します。

regini {上記のリスト中の作成されたファイルの１つ}

マルウェアは、読み込みまたは実行するための許可を変更する以下のコマンドを実行することで、作成された自身をコピーが手動で駆除されるのを妨害します。

• CACLS "%Application Data%\{8 random number}\svchost.exe" /P "{Host Name}:R"