BKDR_REMCOS.TICOGBI

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %Application Data%\Remc\logs.dat <- component file
• %User Temp%\install.vbs <- executes the dropped copy of the malware
• %User Temp%\~{random alphanumeric}.TMP <- component file

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.. %User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Application Data%\Remc\Remc.exe

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

マルウェアは、以下のフォルダを作成します。

• %Application Data%\Remc

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• ophjgkjfmv-8RQED1
• Remcos_Mutex_Inj
• Mutex_RemWatchdog

マルウェアは、自身（コンピュータに侵入して最初に自身のコピーを作成したマルウェア）を終了し、侵入したコンピュータ内で作成した自身のコピーの方を実行します。

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
Explorer\run
{random alphanumeric} = %Application Data%\Remc\Remc.exe

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{random alphanumeric} = "%Application Data%\Remc\Remc.exe"

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
Userinit = %System%\userinit.exe, "%Application Data%\Remc\Remc.exe"

(註：変更前の上記レジストリ値は、「%System%\userinit.exe」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
Shell = explorer.exe, "%Application Data%\Remc\Remc.exe"

(註：変更前の上記レジストリ値は、「explorer.exe」となります。)

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
Explorer\run

HKEY_CURRENT_USER\Software\{random string}-{random string}

マルウェアは、インストールの過程で、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\{random string}-{random string}
EXEpath = {random hex values}

HKEY_CURRENT_USER\Software\{random string}-{random string}
WD = {random value}

マルウェアは、以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System
EnableLUA = "0"

(註：変更前の上記レジストリ値は、「1」となります。)

バックドア活動

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• {BLOCKED}.{BLOCKED}.78.71:2442
• {BLOCKED}.{BLOCKED}.9.122:2442
• http://civita2.{BLOCKED}p.biz

情報漏えい

マルウェアは、以下の情報を収集します。

• Computer Name
• System Type
• Product Name
• Primary Adapter
• User Access (Admin or Non-admin)
• User Profile
• User Name
• User Domain
• Processor Revision No.
• Processor Level
• Processor Identifier
• Processor Architecture
• System Type (32-bit or 64-bit)

その他

このマルウェアのコードから、マルウェアは、以下の機能を備えています。

• Perform ping
• Enumerate drives
• List all files
• Open file/s
• Get file/s from affected computer
• Upload file/s to affected computer
• Delete file/s from affected computer
• Rename file/s from affected computer
• Create new directory
• Search a file from affected computer
• Download file from url
• Download file from local
• Enumerate process
• Terminate process
• Maximize/Minimize application
• Switch application
• Terminate application
• Open cmd
• Open webpage
• Open screen capture
• Open keylogger
• Set affected computer to send logs automatically
• Deletes cookies and stored browser logins
• Get screenshot
• Capture image from camera if available
• Capture voice from mic if available
• Acquire user password
• Display a messagebox to affected computer
• Sends keyboard input
• Sends mouse click
• Shutdown affected Computer
• Copy clipboard data
• Set clipboard data
• Clear clipboard data
• Manipulate registry entries