BKDR_PLUGX.ZTBF-A

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

マルウェアは、2014年6月に台湾の特定の機関を狙った標的型攻撃の一部です。RAT「PlugX」を利用するだけでなくオンラインストレージサービス「Dropbox」も悪用します。マルウェアは、不正リモートユーザからのコマンドの待機および実行のため、Dropboxを用いて自身のC&Cサーバの設定を更新します。このマルウェアに感染したユーザは、コンピュータのセキュリティの侵害に見舞われる可能性があります。

マルウェアは、他のマルウェアのパッケージとともにコンポーネントとしてコンピュータに侵入します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

侵入方法

マルウェアは、他のマルウェアのパッケージとともにコンポーネントとしてコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %All Users Profile%\DRM\RasTls\RasTls.DLL.msc

マルウェアは、以下のコンポーネントファイルを作成します。

• %All Users Profile%\DRM\RasTls.exe - non-malicious file used to load TROJ_PLUGX.ZTBF-A
• %All Users Profile%\DRM\RasTls.DLL - detected as TROJ_PLUGX.ZTBF-A
• %All Users Profile%\DRM\RasTls\{random file name}

マルウェアは、以下のフォルダを作成します。

• %All Users Profile%\DRM

マルウェアは、以下のプロセスに組み込まれ、システムのプロセスに常駐します。

• svchost.exe
• msiexec.exe

自動実行方法

マルウェアは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\RasT1s
ImagePath = "%All Users Profile%\DRM\RasTls.exe"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\RasT1s
DisplayName = "RasTls"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\RasT1s
Description = "RasTls"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\RasT1s
ObjectName = "LocalSystem'

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Enum\Root\LEGACY_RAST1S\
0000
Service = "RasT1s"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Enum\Root\LEGACY_RAST1S\
0000
DeviceDesc = "RasTls"

マルウェアは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Enum\Root\LEGACY_RAST1S

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\RasT1s

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Manage files, registries, services and directories
• Log keystrokes and active window
• Restart/Reboot/Shutdown system
• Enumerate processes
• Terminate processes
• Get drive information
• Enumerate network resources
• Set TCP connection state
• Lock workstation
• Display a message box
• Perfrom port mapping
• Capture screen
• Perform remote shell

マルウェアが作成する以下の無害なコンポーネントファイルは、「TROJ_PLUGX.ZTBF-A」を読み込むために利用されます。

• %All Users Profile%\DRM\RasTls.exe

マルウェアが作成する以下ののコンポーネントファイルは、「TROJ_PLUGX.ZTBF-A」として検出されます。

• %All Users Profile%\DRM\RasTls.DLL

マルウェアが実行するコマンドは、以下のとおりです。

• ファイル、レジストリ、サービスおよびディレクトリの管理
• キー入力操作およびアクティブなウィンドウの記録
• コンピュータの再起動／リブート／シャットダウン
• プロセスの列挙
• プロセスの終了
• ドライブ情報の取得
• ネットワークリソースの列挙
• TCP接続状態の設定
• ワークステーションのロック
• メッセージボックスの表示
• ポートマッピングの実行
• 画面のキャプチャ
• リモートシェルの実行

マルウェアは、以下のURLへアクセスし、自身のC&Cの設定を取得します。

• http://{BLOCKED}.{BLOCKED}xusercontent.com/s/0lkgew1wqqw6h13/20140512.txt

情報公開日現在、サーバは、設定ファイルを含んでいません。

マルウェアは、現在の日付が2014年3月5日以降の場合のみ、自身の不正活動を実行します。