BKDR_LUMINOSITY.R

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。 マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %ProgramData%\javas\javaup.exe

(註：%ProgramData%フォルダは、Windows Vista および 7 の場合、通常、"C:\ProgramData"、Windows 2000、XP (32ビット)、Server 2003 の場合、"C:\Program Files"、Windows XP (64ビット) の場合、"C:\Program Files (x86)" です。)

マルウェアは、以下のファイルを作成します。

• %Application Data%\javaupd\Guard\1
• %Application Data%\javaupd\Logs\{MM-DD-YYYY} - (contains stolen information)
• %Application Data%\javaupd\Guard\PWD

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

マルウェアは、以下のプロセスを追加します。

• ntvdm.exe

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
javauds = "%ProgamData%\javas\javaup.exe" -a /a

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\RunOnce
javauds = "%ProgamData%\javas\javaup.exe" -a /a

他のシステム変更

マルウェアは、以下のレジストリ値を変更します。

HKEY_CURRENT_USER\Software
1slyGAcSUwLIMg2sAIS1ug== = {Random Values}

HKEY_CURRENT_USER\Software
r9FV00+0RHDCtPSmW7QR1Q== = {Random Values}

HKEY_CURRENT_USER\Software
apjKTISCHYvaf8qpkvs9yw== = {Random Values}

HKEY_CURRENT_USER\Software
ULY/YVw29Mp0AP6LqMisga== = {Random Values}

HKEY_CURRENT_USER\Software
YaGyz8yjWIYZ9mr9WgwISAzOWQtmiFYI2YVhsEVv+ok= = {Random Values}

HKEY_CURRENT_USER\Software
adZj2oq3ZnZFOvnVojsVwg== = {Random Values}

HKEY_CURRENT_USER\Software
T2HXIFoEvthIVZUoNDoP4A== = {Random Values}

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Downloads and executes arbitrary files
• Downloads and executes custom Crypto Miner
• Downloads custom password recovery tool
• Searches for files
• Performs DDOS
• Modifies HOSTS file to redirect hosts/URLs
• Visits arbitrary websites (browser can be hidden and have muted audio)
• Seeds torrent
• Updates itself
• Updates backup C&C
• Remotes Desktop Control
• Remotes shell
• Remotes Script
• Records audio using system's microphone
• Controls Webcam
• Uninstalls itself
• Executes/Terminates/Disables Task Manager
• Executes/Terminates/Disables Command Prompt
• Executes/Terminates/Disables Registry Editor
• Hides/Shows Taskbar
• Hides/Shows Desktop
• Opens/Closes CD-ROM door
• Turns on/off user's monitor
• Enables/Disables Keyboard
• Enables/Disables Mouse
• Swaps/Resets Mouse
• Deletes Restore points
• Enables/Disables input
• Logs off User
• Hibernates
• Shutdowns system
• Reboots System
• Performs network speed test
• Manage Files
• Manage Processes
• Gathers the following information:
  
  • Client Overview:
  • Client ID used
  • Country
  • Software Information:
  • User Privilege
  • Machine Name
  • Hardware Information:
  • Machine Type
  • CPU Information
  • GPU Information
  • RAM Information
  • Battery
  • Monitor Count
  • Network Information:
  • WAN address
  • Download Speed
  • LAN Address
  • MAC Address
  • Others:
  • Security information
  • Uptime
  • Active Windows
  • Current malware file location
  • Full OS version
  • Keystroke logs
  • Stored passwords

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• {BLOCKED}soreria46.no-ip.info
• {BLOCKED}8-167-149.{BLOCKED}crev.cantv.net:9000

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスし、ファイルをダウンロードします。

• http://{BLOCKED}o.st/download/(random values)/(random values).exe

マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %Application Data%\javaupd\Guard\word2015.exe

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)