BKDR_REBHIP.YH

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。 マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。

マルウェアは、感染コンピュータや感染ユーザから特定の情報を収集します。

マルウェアは、実行後、自身を削除します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %Application Data%\{username}-wchelper.dll
• %User Temp%\{username}{number}
• %Application Data%\DC0C021C\{date}
• %Application Data%\DC0C021C\ak.tmp

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。. %User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %System Root%\directory\CyberGate\install\server.exe

(註：%System Root%フォルダは、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。)

マルウェアは、以下のフォルダを作成します。

• %System Root%\directory - including this subfolder path(\CyberGate\install)

(註：%System Root%フォルダは、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
HKLM = "%System Root%\directory\CyberGate\install\server.exe"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
HKCU = "%System Root%\directory\CyberGate\install\server.exe "

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\policies\
Explorer\Run
Policies = "%System Root%\directory\CyberGate\install\server.exe"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
Explorer\Run
Policies = "%System Root%\directory\CyberGate\install\server.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Active Setup\Installed Components\{GUID}
StubPath = "%System Root%\directory\CyberGate\install\server.exe Restart"

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\remote

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Active Setup\Installed Components\{GUID}

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\remote
FirstExecution = "{date of execution} -- {time}"

HKEY_CURRENT_USER\Software\remote
NewIdentification = "remote"

HKEY_CURRENT_USER\Software\remote
NewGroup = ""

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Perform Remote Shell
• Log Keystrokes
• Manipulate Registry
• File System Manipulation(Create, Change Attributes, Delete,Copy Files/Folders)
• Update Itself
• Download File
• Remove Itself
• Execute files
• Search Files
• Manipulate Mouse Movement
• Get Camera information
• List Running Processes
• File Search
• Connect to URL
• Capture Audio
• Capture Screenshot
• Upload File
• Capture Webcam

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• {BLOCKED}2.{BLOCKED}p.biz:9090

情報漏えい

マルウェアは、以下の情報を収集します。

• User Credentials
• FTP Credential
• Computer Name
• Installed Antivirus software and Firewall Products
• Locale Info
• Operating System

その他

マルウェアは、実行後、自身を削除します。

マルウェアは、下記の隠しプロセスを開けて、コードを組み込みます。

• Chrome

マルウェアは、仮想環境に対抗する機能を備えており、特定の環境では自身を実行しないようにします。