BKDR_NANOCORE.SM

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

マルウェアは、感染コンピュータ上の特定の情報を収集します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %Application Data%\{random CLSID}\run.dat
• %Application Data%\{random CLSID}\Logs{User}\KB_{random}.dat - where keylogger data will be saved

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Application Data%\{random CLSID}\PCI Service\pcisv.exe - when executed as non-admin
• %Program Files%\PCI Service\pcisv.exe - when executed as admin

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.. %Program Files%フォルダは、プログラムファイルのフォルダで、いずれのオペレーティングシステム(OS)でも通常、 "C:\Program Files"、64bitのOS上で32bitのアプリケーションを実行している場合、 "C:\Program Files (x86)" です。.)

マルウェアは、以下のフォルダを作成します。

• %Application Data%\{random CLSID}
• %Application Data%\{random CLSID}\PCI Service
• %Application Data%\{random CLSID}\Logs\{User}
• %Program Files%\PCI Service

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.. %Program Files%フォルダは、プログラムファイルのフォルダで、いずれのオペレーティングシステム(OS)でも通常、 "C:\Program Files"、64bitのOS上で32bitのアプリケーションを実行している場合、 "C:\Program Files (x86)" です。.)

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• Global\{CLSID}

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Run
PCI Service = %Program Files%\PCI Service\pcisv.exe

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
PCI Service = %Application Data%\random CLSID}\PCI Service\pcisv.exe

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Manage its backdoor file
  
  • Update itself
  • Restart connection
  • Terminate itself
  • Uninstall itself
• System Control
  
  • Restart Machine
  • Shutdown Machine
  • Locks the machine
  • Browse Directory
  • View Task Manager
  • Edit Registry
  • Remote CMD
  • Used to DDOS
  • Mouse swap
  • Remote Execution(from web/file)
  • Remote Script Execution
    
    • Html
    • Batch
    • VBS
    • Python
    • Java
    • PHP
  • Recover Browser Passwords
  • Open CDTray
  • Monitor Keyboard
  • Keyboard logging
  • View Monitor/webcam
  • Control Mouse
  • Send Messages / Chat with the attacker

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• {BLOCKED}.{BLOCKED}.181.70:7893

情報漏えい

マルウェアは、感染コンピュータ上の以下の情報を収集します。

• CPU and OS Information
• Malware File Name
• Installed Anti-Virus/Anti-Spyware