BKDR_SETHC.D

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

マルウェアは、韓国の法人組織を標的とするサプライチェーン攻撃「Red Signature 作戦」に関連しています。

Red Signature 作戦の攻撃者は、まず初めに遠隔支援ツールプロバイダの電子証明書を窃取してマルウェアに署名し、攻撃者が管理するサーバにアップロードします。次に、遠隔支援ツールの更新サーバを侵害し、遠隔支援ツールの更新プロセスを通して標的とするユーザに「Remote Access Tool（RAT）」を送り込みます。

2018 年 4 月 8 日に確認された「ShiftDoor」と呼ばれるこのマルウェアは、上述の遠隔支援ツールプロバイダの電子証明書によって署名されていました。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

マルウェアが自身の不正活動を実行するためには、特定の引数/パラメータ/コンポーネントが必要になります。もしくは、特定の環境で実行される必要があります。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下の無害なファイルを作成します。

• %Fonts%\rundl132.exe ← Copy of the original sethc.exe

(註：%Fonts%フォルダは、Windowsのフォントフォルダです。Windows 2000、XP、Server 2003、Vista、7、８の場合、通常 "C:\Window \Fonts" です。)

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Execute Files
• Terminate Itself
• Delete Itself
• Execute cmd.exe
• Modify Files

その他

マルウェアが自身の不正活動を実行するためには、特定の引数/パラメータ/コンポーネントが必要になります。もしくは、特定の環境で実行される必要があります。

＜補足＞

インストール

マルウェアは、以下の無害なファイルを作成します。

元のsethc.exeのコピー

• %Fonts%\rundl132.exe

その他

マルウェアは以下を実行します。

• ユーザがログインしているときにユーザがSHIFTキーを5回押すと、通常のスティッキーキーウィンドウがポップアップします。Windowsログイン画面がユーザに表示されている間、特定のコマンドと引数を実行できるウィンドウが表示されます。
• マルウェアは％System％\ sethc.exeファイルを自身に置き換えます

（注：％System％はWindowsのシステムフォルダで、通常はすべてのWindowsオペレーティングシステムのバージョンではC：\ Windows \ System32です）。