BKDR_QUARIAN.SM

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

マルウェアは、2012年12月に米国の政府機関の上層部に対して行われた標的型攻撃に関連しています。マルウェアは、シリア政府を装ったEメールとして送信されました。

攻撃者は、マルウェアにより感染コンピュータ上でリモートコマンドを実行が可能になり、コンピュータのセキュリティおよび保有する情報を脅かします。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

• %User Temp%\update.exe

(註：%User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• windowsupdataguoDL

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
wintinfo.exe = "%User Temp%\update.exe"

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Perform remote shell
• Upload file to C&C server
• Download file from C&C server
• Execute files
• Enumerate files and folders
• Move files
• Delete files
• Change C&C connection delay
• Delete the autorun registry entry HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run alg
• Send the following information:
  • Host name
  • IP address
  • OS version information
  • User name
  • User privelege information

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• {BLOCKED}reddy1.{BLOCKED}5.com

その他

マルウェアは、以下のファイルの実行を試みます

• %User Temp%\Readme.pdf

マルウェアが実行するコマンドは以下のとおりです。

• リモートシェルの実行
• コマンド＆コントロール（C&C）サーバにファイルのアップロード
• C&Cサーバからファイルのダウンロード
• ファイルの実行
• ファイルおよびフォルダの列挙
• ファイルの移動
• ファイルの削除
• 接続遅延しているC&Cの変更
• 自動実行のレジストリ「HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run alg」の削除
• 以下の情報の送信
  • ホスト名
  • IPアドレス
  • オペレーティングシステム（OS）のバージョン情報
  • ユーザ名
  • ユーザ権限情報