BKDR_GLUPTEBA.JNA

マルウェアは情報を収集し、自身のサーバに送信します。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。 マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

• %Application Data%\EpicNet Inc\CloudNet\cloudnet.exe

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

マルウェアは、以下のフォルダを作成します。

• %Application Data%\EpicNet Inc\CloudNet

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• Global\Mp6c3Ygukx29GbDk
• Global\fd6c128733fc1d31f48a431ee6dfe1bc

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
CloudNet = %Application Data%\Roaming\EpicNet Inc\CloudNet\cloudnet.exe

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
CloudNet

HKEY_CURRENT_USER\Software\EpicNet Inc.

HKEY_CURRENT_USER\Software\EpicNet Inc.\
CloudNet

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\EpicNet Inc.\
CloudNet
Value = {date}

HKEY_CURRENT_USER\Software\EpicNet Inc.\
CloudNet
GUID = {GUID}

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
CloudNet
DisplayName = CloudNet

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
CloudNet
DisplayVersion = 20170301

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
CloudNet
Publisher = EpicNet Inc.

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
CloudNet
InstallLocation = %Application Data%\EpicNet Inc\CloudNet

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
CloudNet
DisplayIcon = %Application Data%\EpicNet Inc\CloudNet\cloudnet.exe

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
CloudNet
UninstallString = %Application Data%\EpicNet Inc\CloudNet\cloudnet.exe /uninstall

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Creates a proxy connection
• Gather information from past created proxy connection
• Close socket of proxy connection
• Modify its added registry entries value and svalue
• Download and execute arbitrary file

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• {GUID}.server-{1 to 40}.photoadvice.online
• {GUID}.server-{1 to 40}.photoadvice.pw
• {GUID}.server-{1 to 40}.0ek.ru
• {GUID}.server-{1 to 40}.0vu.ru

その他

マルウェアは、以下のWebサイトにアクセスしてインターネット接続を確認します。

• www.google.com

＜補足＞
バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• プロキシ接続を作成する
• 過去に作成されたプロキシ接続から情報を収集する
• プロキシ接続のソケットを閉じる
• 追加されたレジストリエントリの値とsvalueを変更する
• 任意のファイルをダウンロードして実行する

その他

マルウェアは以下を実行します。

• マルウェアはプロキシ接続を作成することができるため、スパムメールの中継とするため、あるいは広告ネットワークにリダイレクトするために感染コンピュータを利用することができます。
• マルウェアは、以下のHTTP GETリクエストを送信して上記のURLを通知し、マルウェアが接続するポート番号を受け取ります。
  • /stat?uid={value}&downlink={value}&uplink={value}&id={value}&statpass={value}&version={value}&features={value}&guid={value}&comment={value}&p={value}&s={value}
• マルウェアは、引数"/uninstall"が存在する場合、またはユーザが 「プログラムの追加と削除」の設定から手動でアンインストールする場合、自身を削除してアンインストールします。
• マルウェアは、感染コンピュータ内に以下のレジストリキーとエントリが存在しない場合、自身を終了します。
  • HKEY_CURRENT_USER\Software\Microsoft\TestApp
  • UUID = {value}

マルウェアは、以下の情報を収集し、サーバに報告します。

• マルウェアのバージョン
• オペレーティングシステム（OS）のバージョン
• ユーザが管理者かどうか
• マルウェアのC＆C
• プロセッサ名
• GPU名
• メモリ（RAM）