BKDR_LUMINOSITY.E

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、 Windows のタスクスケジューラを使い、「スケジュールされたタスク」を追加します。これにより、作成された自身のコピーが実行されます。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

マルウェアは、ユーザのキー入力操作情報を記録し、情報を収集します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

• %All Users Profile%\{6 digits}\helper.exe

(註：%All Users Profile%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\All Users”、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\ProgramData” です。.)

マルウェアは、以下のファイルを作成します。

• %Tasks%\Computer Helper - scheduled task
• %All Users Profile%\{41 characters}

(註：%All Users Profile%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\All Users”、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\ProgramData” です。.)

マルウェアは、 Windows のタスクスケジューラを使い、「スケジュールされたタスク」を追加します。これにより、作成された自身のコピーが実行されます。

マルウェアは、以下のフォルダを作成します。

• %All Users Profile%\{6 digits}
• %All Users Profile%\{6 digits}\{6 digits}

(註：%All Users Profile%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\All Users”、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\ProgramData” です。.)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\RunOnce
Computer Helper = "%All Users Profile%\{6 digits}\helper.exe -a /a"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Computer Helper = "%All Users Profile%\{6 digits}\helper.exe -a /a"

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software
{base64 encoded data} = "{base64 encoded data}"

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Downloads and executes arbitrary files
• Downloads and executes custom Crypto Miner
• Downloads custom password recovery tool
• Searches for files
• Performs DDOS
• Modifies HOSTS file to redirect hosts/URLs
• Visits arbitrary websites (browser can be hidden and have muted audio)
• Seeds torrent
• Updates itself
• Updates backup C&C
• Remotes Desktop Control
• Remotes shell
• Remotes Script
• Records audio using system's microphone
• Controls Webcam
• Uninstalls itself
• Executes/Terminates/Disables Task Manager
• Executes/Terminates/Disables Command Prompt
• Executes/Terminates/Disables Registry Editor
• Hides/Shows Taskbar
• Hides/Shows Desktop
• Opens/Closes CD-ROM door
• Turns on/off user's monitor
• Enables/Disables Keyboard
• Enables/Disables Mouse
• Swaps/Resets Mouse
• Deletes Restore points
• Enables/Disables input
• Logs off User
• Hibernates
• Shutdowns system
• Reboots System
• Performs network speed test
• Manage Files
• Manage Processes
• Gathers the following information:
  • Client Overview:
  • Client ID used
  • Country
  • Software Information:
  • User Privelege
  • Machine Name
  • Hardware Information:
  • Machine Type
  • CPU Information
  • GPU Information
  • RAM Information
  • Battery
  • Monitor Count
  • Network Information:
  • WAN address
  • Download Speed
  • LAN Address
  • MAC Address
  • Others:
  • Security information
  • Uptime
  • Active Windows
  • Current malware file location
  • Full OS version
  • Keystroke logs
  • Stored passwords

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• dnspondy.{BLOCKED}s.org (IP address: {BLOCKED}.{BLOCKED}.26.78)

情報漏えい

マルウェアは、ユーザのキー入力操作情報を記録し、情報を収集します。

情報収集

マルウェアは、以下のファイル内に収集した情報を保存します。

• %All Users Profile%\{6 digits}\{6 digits}\{date}.txt - contains logged keystrokes

(註：%All Users Profile%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\All Users”、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\ProgramData” です。.)