BKDR_DYRE.AM

マルウェアは、リモートサイトから他のマルウェアまたはグレイウェアにダウンロードされ、コンピュータに侵入します。

マルウェアは、 Windows のタスクスケジューラを使い、「スケジュールされたタスク」を追加します。これにより、作成された自身のコピーが実行されます。

マルウェアは、ワーム活動の機能を備えていません。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。 マルウェア マルウェアは、自身（コンピュータに侵入して最初に自身のコピーを作成した マルウェア ）を削除します。

侵入方法

マルウェアは、リモートサイトから以下のマルウェアまたはグレイウェアにダウンロードされ、コンピュータに侵入します。

• TROJ_UPATRE.YYSQQ

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %AppDataLocal%\{random filename}.exe (for Windows Vista and above)
• %Windows%\{random filename}.exe (for Windows XP and below)

(註：%AppDataLocal%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local" です。. %Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

マルウェアは、 Windows のタスクスケジューラを使い、「スケジュールされたタスク」を追加します。これにより、作成された自身のコピーが実行されます。

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• Global\{random}

マルウェアは、以下のプロセスにコードを組み込みます。

• explorer.exe
• svchost.exe

自動実行方法

この「スケジュールされたタスク」により、以下の時間ごとにマルウェアが実行されます。

• 1 minute

他のシステム変更

マルウェアは、以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Control\Lsa
LimitBlankPasswordUse = "0"

(註：変更前の上記レジストリ値は、「1」となります。)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Control\Terminal Server
fDenyTSConnections = "0"

(註：変更前の上記レジストリ値は、「1」となります。)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Control\Terminal Server
fSingleSessionPerUser = "0"

(註：変更前の上記レジストリ値は、「1」となります。)

感染活動

マルウェアは、ワーム活動の機能を備えていません。

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Receive configuration(web injects/MitB)
• Receive New connections
• Download file and execute
• Download Module
• Browser Snapshot
• Terminate Process
• Add Users
• Wipe Master Boot Record (MBR), Drives C and D
• Reboot system

作成活動

マルウェアは、以下のファイルを作成します。

• %System%\config\systemprofile\Application Data\{random filename} (for Windows XP and below)
• %AppDataLocal%\{random filename} (for Windows Vista and above)

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.. %AppDataLocal%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local" です。)

情報漏えい

環境設定ファイルは、以下の情報を含んでいます。

• List of strings related to banking/bitcoin
• Proxy address for the Man-in-the-middle attack
• List of new C&C server

マルウェアは、以下の情報を収集します。

• Host Name
• Public IP Address
• Computer Name
• OS Version
• OS Platform
• User Accounts
• System Info(CPU, Memory, No. of Processors)
• Installed programs
• Services

その他

マルウェアは、以下のWebサイトにアクセスしてインターネット接続を確認します。

• google.com
• microsoft.com

マルウェアは、以下のWebサイトにアクセスして感染コンピュータのIPアドレスを収集します。

• http://icanhazip.com

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• http://{BLOCKED}.{BLOCKED}.1.13:4443
• http://{BLOCKED}.{BLOCKED}.116.174:443
• http://{BLOCKED}.{BLOCKED}.212.105:443
• http://{BLOCKED}.{BLOCKED}.180.41:4443
• http://{BLOCKED}.{BLOCKED}.69.251:443
• http://{BLOCKED}.{BLOCKED}.49.11:443
• http://{BLOCKED}.{BLOCKED}.228.68:4443
• http://{BLOCKED}.{BLOCKED}.166.94:4443
• http://{BLOCKED}.{BLOCKED}.50.124:4443
• http://{BLOCKED}.{BLOCKED}.239.194:443
• http://{BLOCKED}.{BLOCKED}.101.194:4443
• http://{BLOCKED}.{BLOCKED}.122.32:443
• http://{BLOCKED}.{BLOCKED}.109.92:443
• http://{BLOCKED}.{BLOCKED}.76.17:4443
• http://{BLOCKED}.{BLOCKED}.217.70:443
• http://{BLOCKED}.{BLOCKED}.68.104:443
• http://{BLOCKED}.{BLOCKED}.68.129:443
• http://{BLOCKED}.{BLOCKED}.9.108:443
• http://{BLOCKED}.{BLOCKED}.9.141:443
• http://{BLOCKED}.{BLOCKED}.9.225:443
• http://{BLOCKED}.{BLOCKED}.167.234:4443
• http://{BLOCKED}.{BLOCKED}.240.79:4443
• http://{BLOCKED}.{BLOCKED}.77.76:443
• http://{BLOCKED}.{BLOCKED}.206.82:443
• http://{BLOCKED}.{BLOCKED}.207.134:4443
• http://{BLOCKED}.{BLOCKED}.60.33:443
• http://{BLOCKED}.{BLOCKED}.67.190:443
• http://{BLOCKED}.{BLOCKED}.104.166:4443
• http://{BLOCKED}.{BLOCKED}.240.118:443
• http://{BLOCKED}.{BLOCKED}.101.2:4443
• http://{BLOCKED}.{BLOCKED}.108.47:4443
• http://{BLOCKED}.{BLOCKED}.78.174:443
• http://{BLOCKED}.{BLOCKED}.200.112:443
• http://{BLOCKED}.{BLOCKED}.182.109:443
• http://{BLOCKED}.{BLOCKED}.67.80:443
• http://{BLOCKED}.{BLOCKED}.28.44:443
• http://{BLOCKED}.{BLOCKED}.251.162:443
• http://{BLOCKED}.{BLOCKED}.196.217:443
• http://{BLOCKED}.{BLOCKED}.208.13:443
• http://{BLOCKED}.{BLOCKED}.131.116:443
• http://{BLOCKED}.{BLOCKED}.226.74:443
• http://{BLOCKED}.{BLOCKED}.71.149:4443
• http://{BLOCKED}.{BLOCKED}.176.230:4443
• http://{BLOCKED}.{BLOCKED}.232.18:443
• http://{BLOCKED}.{BLOCKED}.158.109:443
• http://{BLOCKED}.{BLOCKED}.48.38:443
• http://{BLOCKED}.{BLOCKED}.62.195:4443
• http://{BLOCKED}.{BLOCKED}.47.107:443

マルウェア は、自身（コンピュータに侵入して最初に自身のコピーを作成した マルウェア ）を削除します。

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %AppDataLocal%\{random filename}.exe (Windows Vista 以降)
• %Windows%\{random filename}.exe (Windows XP 以前)

「スケジュールされたタスク」により、以下の時間ごとにマルウェアが実行されます。

• 1分

マルウェアが実行する不正リモートユーザからのコマンドは以下のとおりです。

• 環境設定の受信（Webインジェクションおよび「Man in the Browser（MitB）攻撃」に利用）
• 新たな接続の受信
• ファイルのダウンロードおよび実行
• モジュールのダウンロード
• ブラウザのスナップショット
• プロセスの終了
• ユーザの追加
• マスターブートレコード (MBR)、Cドライブ、Dドライブをワイプ
• コンピュータの再起動

マルウェアは、以下のファイルを作成します。

• %System%\config\systemprofile\Application Data\{random filename} (Windows XP 以前)
• %AppDataLocal%\{random filename} (Windows Vista 以降)

環境設定ファイルに含まれる情報は、以下のとおりです。

• ネットバンキングやビットコインに関連した文字列のリスト
• 「Man-In-The-Middle（中間者）攻撃」のためのプロキシアドレス
• 新しいコマンド＆コントロール（C&C）サーバのリスト

マルウェアが収集する情報は以下のとおりです。

• ホスト名
• パブリックIPアドレス
• コンピュータ名
• オペレーティングシステム（OS）のバージョン
• オペレーティングシステム（OS）のプラットホーム
• ユーザアカウント
• システム情報（CPU、メモリ、プロセッサ番号）
• インストールされたプログラム
• サービス

マルウェアは、以下を実行します。

• 以下のブラウザを監視します。
  • chrome.exe
  • chromium.exe
  • firefox.exe
  • iexplore.exe
  • microsoftedge
• 以下の「Simple Traversal of UDP through NATs（STUN）」サーバに接続して、感染コンピュータのパブリックIPアドレスを特定します。
  • stun1.voiceeclipse.net
  • stun.callwithus.com
  • stun.sipgate.net
  • stun.ekiga.net
  • stun.internetcalls.com
  • stun.noc.ams-ix.net
  • stun.voip.aebc.com
  • stun.voipbuster.com
  • stun.voxgratia.org
  • stun.ipshka.com
  • stun.faktortel.com.au
  • stun.iptel.org
  • stun.voipstunt.com
  • 203.183.172.196:3478
  • s1.taraba.net
  • stun.l.google.com:19302
  • stun1.l.google.com:19302
  • stun2.l.google.com:19302
  • stun3.l.google.com:19302
  • stun4.l.google.com:19302
  • stun.schlund.de
  • stun.rixtelecom.se
  • stun.voiparound.com
  • numb.viagenie.ca
  • stun.stunprotocol.org
  • stun.services.mozilla.com
  • stun.2talk.co.nz
• 以下のサービスを停止します。
  • wscsvc
  • MpsSvc
  • WinDefend
• 以下のサービスを開始します。
  • termservice

マルウェアは、以下のGETリクエストを送信します。

/0911us11/{Computer name}_{OS patform}.{BOTID}/{value}/{data/variable}/{BLOCKED}.{BLOCKED}.6.243/

マルウェアは、POSTリクエストを送信して、インジェクションによって窃取した情報を送信します。

マルウェアは、ルートキット機能を備えていません。

マルウェアは、脆弱性を利用した感染活動を行いません。