BKDR_NUKESPED.E

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、実行後、自身を削除します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %User Temp%\Microsoft.Win32.TaskScheduler.dll -> component for SetTaskPathDl
• %User Temp%\drmanidd32.dll ->also detected as BKDR_NUKESPED.E
• %Application Data%\Adobe\Update\SecuUpdates.dll -> renamed copy of drmanidd32.dll

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.. %Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

マルウェアは、以下のファイルを作成し実行します。

• %User Temp%\end.bat -> used to delete itself and the malware
• %User Temp%\start.bat -> used to execute and delete components
• %User Temp%\SetTaskPathDl.exe ->used to rename and create a scheduled task for drmanidd32.dll

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

マルウェアは、実行後、自身を削除します。

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• 74tw9401-719s-85hk-op16-562ge02bm369

他のシステム変更

マルウェアは、以下のファイルを削除します。

• %User Temp%\end.bat
• %User Temp%\start.bat
• %User Temp%\SetTaskPathDl.exe
• %User Temp%\Microsoft.Win32.TaskScheduler.dll
• %User Temp%\drmanidd32.dll

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• go -> Ok signal for the backdoor capability
• ti -> Change Sleep time multiplier
• sh -> Has same template as fs and ts but has not implemented any function after resolving the host address
• fs -> Send and Receive Backdoor Commands via UDT Library (UDT::socket, UDT::connect, etc)
  Has the following subcommands:
  • _dir Send a directory listing for path specified
  • _exe Execute arbitrary shell commands via WinExec
  • _get Encrypt and upload arbitrary file
  • _got Encrypt and upload arbitrary file then delete file
  • _put Download, Decrypt and save arbitrary file
  • _quit Exit “fs” backdoor command loop
• ts -> Send and Receive Backdoor Commands via common APIs (socket, bind, connect, etc)
  Has the following subcommands:
  • _dir Send a directory listing for path specified
  • _del Delete arbitray file
  • _exe Execute arbitrary shell commands via WinExec
  • _get Encrypt and upload arbitrary file
  • _got Encrypt and upload arbitrary file then delete file
  • _put Download, Decrypt and save arbitrary file
  • _dll Inject a DLL into a process via remote thread
  • _dlu Unload DLL
  • _cap Save screenshot to file and send to C&C, then delete
  • _inf Gather info to a temp file and Send to C&C, then delete:
    • Operating system version
    • Username
    • Computer name
    • System drive
    • Local time
    • All connected drives and properties
    • Network adapter properties
    • Disk free space
    • All installed programs
  • _cmd Execute comspec with arbitrary parameter and send results to C&C
  • _prc Send a full running process list to C&C
  • _quit Exit backdoor command thread
• dl -> DLL Injection via CreateRemoteThread
• du -> DLL Unloading via FreeLibrary
• de -> Secure Delete File Function, renames multiple times then delete
• cm -> Execute ComSpec with Arbitrary Parameters
• cu -> Send sytem info through the DNS query
• ex -> Execute Arbitrary Shell Commands