BKDR_HESETOX.CC

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Application Data%\svchost.exe

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• Heistenberg2337

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
PCI Compliant SCard = "%Application Data%\svchost.exe"

他のシステム変更

マルウェアは、以下のレジストリ値を作成し、Windowsのファイアウォールを回避します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\AuthorizedApplications\
List
%Application Data%\svchost.exe = "%Application Data%\svchost.exe:*:Enabled:svchost"

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• download and execute arbitrary files
• update copy of main malware
• send gathered data

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• www.{BLOCKED}minalworld.la/api/process.php?xy={random values}

情報漏えい

マルウェアは、以下の情報を収集します。

• operating system
• computer name
• card track data

その他

マルウェアが実行するコマンドは、以下のとおりです。

• 任意のファイルのダウンロードおよび実行
• メインとなるマルウェアのコピーの更新
• 収集データの送信

マルウェアが収集する情報は以下のとおりです。

• オペレーティングシステム（OS）
• コンピュータ名
• カードトラックデータ

マルウェアは、すべての実行中プロセスのメモリをスキャンし、カードトラックデータを取得します。

マルウェアは、以下のプロセスのスキャンをスキップします。

• alg.exe
• csrss.exe
• ctfmon.exe
• explorer.exe
• lsass.exe
• mscorsvw.exe
• services.exe
• smss.exe
• spoolsv.exe
• winlogon.exe
• wscntfy.exe

マルウェアは、インターネット接続を確認します。接続がない場合、マルウェアは、"KARTOXA007"の名前を持つリムーバブルドライブの存在を確認し続けます。確認されると、マルウェアは、収集データを含む以下のファイルを作成します。

• {removable drive letter}:\dmpz.log