BKDR_SHADESRAT.JLC

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

マルウェアは、感染コンピュータ上の特定の情報を収集します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

• %User Temp%\{malware name}\{malware name}.exe

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

マルウェアは、以下のファイルを作成します。

• %Application Data%\Imminent\Path.dat - encrypted
• %Application Data%\Imminent\Monitoring\system.dat - encrypted
• %Application Data%\Imminent\Monitoring\network.dat - encrypted
• %Application Data%\Imminent\Logs\{current date} - encrypted

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %System Root%\windows defender\Win32.exe
• %Application Data%\windows defender\Win32.exe

(註：%System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.. %Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

マルウェアは、以下のプロセスを追加します。

• cmd.exe /C ping 1.1.1.1 -n 1 -w 1000 > Nul & Del "Original malware location and file name.exe " - deletes the malware

マルウェアは、以下のフォルダを作成します。

• %Application Data%\windows defender
• %System Root%\windows defender
• %User Temp%\{malware name}
• %Application Data%\Imminent
• %Application Data%\Imminent\Logs
• %Application Data%\Imminent\Monitoring

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.. %System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.. %User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
windows defender = %Application Data%\windows defender\Win32.exe

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Clients

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Clients
PID = {number}

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Plugin Manager - Load/Unload Plugins
• Plugin Packet Handler - Send/Receive Plugins packet
• Chat - start and control chat sessions
• Remote Desktop - Remotely control the desktop
• KeyHook - Start keylogging
• KeyManager - Keylogger Manager
• Microphone - access microphone
• Reverse Proxy
• RDP - Start remote desktop control session
• Remote Webcam - List webcams and monitor/capture video
• Uninstall itself
• Clipboard Manager - Get/Set clipboard data
• CommandPrompt - Perform remote shell
• Execute Update Manager - Update itself
• File Manager - Open/Create/View/Delete Files/Folders
• File Transfer - Upload/Download Files
• Messagebox - Display Message Box
• Process Manager - Start/Terminate Processes
• Registry Manager - Open/Create/Delete Registry entries
• Scripting Manager - Write/Modify/Use Scripts
• Simple Transfer
• Startup Manager - Disable/Enable Startup Items
• TCP Connections - start/stop TCP connections
• Window Manager - Resume/Close/Minimize/Restore/Visible/Invisible Window
• Hide/Show/Lock/Unlock Desktop Items
• Hide/Show/Lock/Unlock Taskbar
• Hide/Show Start Button
• Password Recovery - Retrieve password
• Add/Remove User
• Open/Close Disk Tray
• Shutdown/Reboot/LogOff/Hibernate/Suspend
• Monitor Off/On
• Inject to a process
• Records/Captures Mouse Activity
• Install other malware

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• {BLOCKED}.{BLOCKED}.86.2:20000
• {BLOCKED}.{BLOCKED}.158.221:2000
• {BLOCKED}.{BLOCKED}.157.187:20000

情報漏えい

マルウェアは、感染コンピュータ上の以下の情報を収集します。

• AV product installed
• Firewall product installed
• System information (OS, Processor, graphic card, RAM)
• LAN
• MAC Address
• Computer Name
• Computer Username
• Privileges
• Screens
• RAM Usage
• Battery
• Last Reboot

マルウェアは、以下のブラウザから、ユーザ名、パスワードやホスト名といった保存された情報を収集します。

• Mozilla Firefox
• Google Chrome
• Opera