BKDR_PROTUX.SMZKEB-G

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、実行後、自身を削除します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %User Temp%\{malware name}.exe
• %Windows%\LINKINFO.dll
• %User Temp%\cnagnt.dll
• %User Temp%\ppa{Random hex value}.tmp → temporary DLL
• %User Temp%\RCX{Random hex value}.tmp → temporary DLL
• %Application Data%\cnagnt.dll

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.. %Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

マルウェアは、以下のファイルを作成します。

• %User Temp%\1.txt → Contains the malware's process information. Deleted afterwards.
• %User Temp%\ppa{Random hex value}.tmp.vbs
• {Malware path}\q.bat → Uninstall itself. Deleted afterwards.

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

マルウェアは、実行後、自身を削除します。

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• tmutexabc

自動実行方法

マルウェアは、作成されたコンポーネントがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Conime = "%System%\rundll32" "%User Temp%\ppa{Random hex value}.tmp",Sd

マルウェアは、Windows起動時に自動実行されるよう＜スタートアップ＞フォルダ内に以下のファイルを作成します。

• %User Startup%\Conime.lnk
• %User Startup%\Conime.exe

(註：%User Startup%フォルダは、現在ログオンしているユーザのスタートアップフォルダです。Windows 98およびMEの場合、通常 "C:\Windows\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows NTの場合、通常 "C:\WINNT\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows XPの場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup" です。)

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Control Panel\Desktop
WaitToKillAppTimeout = 1000

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Upload victim information.
• Execute a batch script, executable file or DLL file.

その他

マルウェアは、以下のWebサイトにアクセスしてインターネット接続を確認します。

• http://www.bing.com/

＜補足＞
インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Application Data%\cnagnt.dll
• %User Temp%\{マルウェア名}.exe
• %Windows%\LINKINFO.dll
• %User Temp%\cnagnt.dll
• %User Temp%\ppa{ランダムな16進数の値}.tmp → 一時DLLファイル
• %User Temp%\RCX{ランダムな16進数の値}.tmp → 一時DLLファイル

マルウェアは、以下のファイルを作成します。

• %User Temp%\1.txt → マルウェアのプロセス情報が含まれるファイル。後に削除される
• %User Temp%\ppa{ランダムな16進数の値}.tmp.vbs
• {マルウェアのパス}\q.bat → 自身をアンインストールするファイル。後に削除される

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• ユーザ情報をアップロードする
• バッチスクリプト、実行可能ファイルまたはDLLファイルを実行する

その他

マルウェアは以下を実行します。

• 以下のセキュリティ対策製品の存在を確認します。
  • norton
  • synmantec
  • trend micro
  • kaspersky
  • avira
  • avg
• 以下のセキュリティ対策製品に関連したプロセスの存在を確認します。
  • uiseagnt.exe
  • v3ltray.exe
  • ayagent.aye
  • avp.exe
  • avgnt.exe
  • ccsvchst.exe
  • pccntmon.exe
  • cntaosmgr.exe
  • klnagent.exe
  • avg
• 上記のセキュリティ対策製品および関連プロセスが確認された場合、
  • ％User Temp％ディレクトリにデフォルトのエクスポート 'Dm'を持つ一時DLLに自身を変換する
  • 32ビットシステム上で管理者権限で実行された場合、
    • ％User Temp％の一時DLLを、％Windows％\ LINKINFO.dllにコピーする
  • そうでない場合、
    • ファイル名に"emp\ low"が含まれる場合には、マルウェアは一時DLLを %User Temp%\cnagnt.dllにコピーする
    • それ以外の場合は、一時DLLを%Application Data%\cnagnt.dllにコピーする
    • ％User Temp％の一時DLLを削除する
    • 以下のいずれかへ誘導するショートカットファイル％User Startup％\ Conime.lnkを作成する
      • %System%\rundll32.exe "%Application Data%\cnagnt.dll",Sd
      • %System%\rundll32.exe "%User Temp%\cnagnt.dll",Sd
  • 以下のURLに接続して、コマンド＆コントロール（C&C）サーバとポートが含まれるデータをダウンロードします。
    • https://github.com/{BLOCKED}ff
    • http://{BLOCKED}see.tumblr.com:443
      しかし、情報公開日現在、このWebサイトにはアクセスできません。
  • マルウェアは、検出を困難にするため、自身のコピーに不要なデータを追加します。
  • ％User Temp％で実行されているかどうかを確認します。そうでない場合は、％User Temp％に自身をコピーし、以下のコマンドでコピーを実行します。
    • ％User Temp％\ {マルウェア名}.exe"{マルウェアのパス} \{マルウェア名}.exe