BKDR_SIMDA.SMEP

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

マルウェアのファミリ名は、2015年4月に閉鎖されたボットネット「SIMDA」に関する作戦活動より命名されました。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、実行後、自身を削除します。

マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %User Profile%\Application Data\{random}.reg
• %User Profile%\Application Data\mcp.ico
• %User Profile%\Application Data\Mozilla\Firefox\Profiles\{random}\searchplugins\search.xml
• %Desktop%\Computer.lnk
• %User Temp%\{random}.sys
• %User Temp%\{random}-{random}.exe
• %User Temp%\{random number}.tmp
• %User Temp%\{random}.exe

(註：%User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞" です。.. %Desktop%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Desktop"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\Desktop" です。.. %User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %User Profile%\Application Data\ScanDisc.exe
• %User Profile%\Application Data\{random}.exe
• %User Temp%\{Random Number}.tmp

(註：%User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞" です。.. %User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

マルウェアは、実行後、自身を削除します。

自動実行方法

マルウェアは、作成されたコンポーネントがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\RunOnce
{random name} = "%User Profile%\Application Data\{random name}.exe"

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System
ConsentPromptBehaviorAdmin = "0"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System
ConsentPromptBehaviorUser = "0"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System
EnableLUA = "0"

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows
update = "shortcut"

マルウェアは、以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Tcpip\Parameters\
Interfaces\{GUID}
NameServer = "8.8.8.8"

(註：変更前の上記レジストリ値は、「""」となります。)

バックドア活動

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• {BLOCKED}9.{BLOCKED}6.87.106
• report.{pseudorandom}.com
• update.{pseudorandom}.com
• {BLOCKED}9.{BLOCKED}3.196.94
• {BLOCKED}9.{BLOCKED}7.173.222
• {BLOCKED}9.{BLOCKED}6.66.239
• {BLOCKED}.{BLOCKED}9.248.152
• {BLOCKED}9.{BLOCKED}6.66.239

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスし、不正なファイルをダウンロードして実行します。

• http://update1.{BLOCKED}exefeed.eu/?abbr=RTK&action=download&setupType=umx&setupFileName=process_64.exe
• http://update1.{BLOCKED}exefeed.eu/?abbr=RTK&action=download&setupType=um32&setupFileName=process_32.exe

HOSTSファイルの改変

マルウェアは、コンピュータのHOSTSファイルを改変します。これにより、ユーザは、以下のWebサイトにアクセスすると、別のWebサイトに誘導されます。

• www.bing.com:{BLOCKED}.{BLOCKED}.68.97
• bing.com:{BLOCKED}.{BLOCKED}.68.97
• gr.bing.com:{BLOCKED}.{BLOCKED}.68.97
• ir.bing.com:{BLOCKED}.{BLOCKED}.68.97
• gb.bing.com:{BLOCKED}.{BLOCKED}.68.97
• dk.bing.com:{BLOCKED}.{BLOCKED}.68.97
• au.bing.com:{BLOCKED}.{BLOCKED}.68.97
• ro.bing.com:{BLOCKED}.{BLOCKED}.68.97
• ca.bing.com:{BLOCKED}.{BLOCKED}.68.97
• pt.bing.com:{BLOCKED}.{BLOCKED}.68.97
• it.bing.com:{BLOCKED}.{BLOCKED}.68.97
• de.bing.com:{BLOCKED}.{BLOCKED}.68.97
• es.bing.com:{BLOCKED}.{BLOCKED}.68.97
• tr.bing.com:{BLOCKED}.{BLOCKED}.68.97
• hu.bing.com:{BLOCKED}.{BLOCKED}.68.97
• br.bing.com:{BLOCKED}.{BLOCKED}.68.97
• cz.bing.com:{BLOCKED}.{BLOCKED}.68.97
• ie.bing.com:{BLOCKED}.{BLOCKED}.68.97
• ch.bing.com:{BLOCKED}.{BLOCKED}.68.97
• nl.bing.com:{BLOCKED}.{BLOCKED}.68.97
• se.bing.com:{BLOCKED}.{BLOCKED}.68.97
• no.bing.com:{BLOCKED}.{BLOCKED}.68.97
• at.bing.com:{BLOCKED}.{BLOCKED}.68.97
• fi.bing.com:{BLOCKED}.{BLOCKED}.68.97
• fr.bing.com:{BLOCKED}.{BLOCKED}.68.97
• pl.bing.com:{BLOCKED}.{BLOCKED}.68.97
• search.yahoo.com:{BLOCKED}.{BLOCKED}.186.249
• www.search.yahoo.com:{BLOCKED}.{BLOCKED}.186.249
• gr.uk.search.yahoo.com:{BLOCKED}.{BLOCKED}.112.8
• ir.uk.search.yahoo.com:{BLOCKED}.{BLOCKED}.239.84
• uk.search.yahoo.com:{BLOCKED}.{BLOCKED}.112.8
• dk.search.yahoo.com:{BLOCKED}.{BLOCKED}.112.8
• au.search.yahoo.com:{BLOCKED}.{BLOCKED}.112.8
• ro.search.yahoo.com:{BLOCKED}.{BLOCKED}.112.8
• ca.search.yahoo.com:{BLOCKED}.{BLOCKED}.112.8
• pt.search.yahoo.com:{BLOCKED}.{BLOCKED}.112.8
• it.search.yahoo.com:{BLOCKED}.{BLOCKED}.112.8
• de.search.yahoo.com:{BLOCKED}.{BLOCKED}.112.8
• es.search.yahoo.com:{BLOCKED}.{BLOCKED}.112.8
• tr.search.yahoo.com:{BLOCKED}.{BLOCKED}.112.8
• hu.search.yahoo.com:{BLOCKED}.{BLOCKED}.112.8
• br.search.yahoo.com:{BLOCKED}.{BLOCKED}.112.8
• cz.search.yahoo.com:{BLOCKED}.{BLOCKED}.112.8
• ie.search.yahoo.com:{BLOCKED}.{BLOCKED}.112.8
• ch.search.yahoo.com:{BLOCKED}.{BLOCKED}.112.8
• nl.search.yahoo.com:{BLOCKED}.{BLOCKED}.112.8
• se.search.yahoo.com:{BLOCKED}.{BLOCKED}.112.8
• no.search.yahoo.com:{BLOCKED}.{BLOCKED}.112.8
• fr.search.yahoo.com:{BLOCKED}.{BLOCKED}.112.8
• pl.search.yahoo.com:{BLOCKED}.{BLOCKED}.112.8
• mx.search.yahoo.com:{BLOCKED}.{BLOCKED}.112.8
• search.yahoo.co.jp:{BLOCKED}.{BLOCKED}.112.8.
• gr.search.yahoo.com:{BLOCKED}.{BLOCKED}.112.8
• malaysia.search.yahoo.com:{BLOCKED}.{BLOCKED}.112.8
• vn.search.yahoo.com:{BLOCKED}.{BLOCKED}.112.8
• cl.search.yahoo.com:{BLOCKED}.{BLOCKED}.112.8
• id.search.yahoo.com:{BLOCKED}.{BLOCKED}.112.8
• in.search.yahoo.com:{BLOCKED}.{BLOCKED}.112.8
• co.search.yahoo.com:{BLOCKED}.{BLOCKED}.112.8
• ph.search.yahoo.com:{BLOCKED}.{BLOCKED}.112.8
• nz.search.yahoo.com:{BLOCKED}.{BLOCKED}.112.8
• ve.search.yahoo.com:{BLOCKED}.{BLOCKED}.112.8
• ar.search.yahoo.com:{BLOCKED}.{BLOCKED}.112.8
• fi.search.yahoo.com:{BLOCKED}.{BLOCKED}.112.8
• th.search.yahoo.com:{BLOCKED}.{BLOCKED}.112.8
• sg.search.yahoo.com:{BLOCKED}.{BLOCKED}.112.8
• ch.search.yahoo.com:{BLOCKED}.{BLOCKED}.112.8
• at.search.yahoo.com:{BLOCKED}.{BLOCKED}.112.8
• za.search.yahoo.com:{BLOCKED}.{BLOCKED}.112.8
• cn.search.yahoo.com:{BLOCKED}.{BLOCKED}.112.8
• www.google-analytics.com:{BLOCKED}.{BLOCKED}.87.101
• google-analytics.com:{BLOCKED}.{BLOCKED}.87.101
• connect.facebook.net:{BLOCKED}.{BLOCKED}.87.101
• ::1 localhost
• google-analytics.com
• bing.com
• connect.facebook.net

情報漏えい

マルウェアは、以下の情報を収集します。

• Volume Information
• Language Information
• Computer Name
• Network Adapter
• SusClientId
• Product Id
• Windows Install Date

その他

マルウェアは、以下のプロセスの存在を確認します。

• vba32arkit.exe
• cv.exe
• irise.exe
• IrisSvc.exe
• wireshark.exe
• dumpcap.exe
• ZxSniffer.exe
• Aircrack-ng Gui.exe
• observer.exe
• tcpdump.exe
• WinDump.exe
• wspass.exe
• Regshot.exe
• ollydbg.exe
• PEBrowseDbg.exe
• windbg.exe
• DrvLoader.exe
• SymRecv.exe
• Syser.exe
• apis32.exe
• VBoxService.exe
• VBoxTray.exe
• SbieSvc.exe
• SbieCtrl.exe
• SandboxieRpcSs.exe
• SandboxieDcomLaunch.exe
• SUPERAntiSpyware.exe
• ERUNT.exe
• ERDNT.exe
• EtherD.exe
• Sniffer.exe
• CamtasiaStudio.exe
• CamRecorder.exe

マルウェアが収集する情報は、以下のとおりです。

• ボリューム情報
• 言語情報
• コンピュータ名
• ネットワークアダプタ
• SusClientId
• プロダクトID
• Windowsのインストール日

マルウェアは、シェルコマンドを含む可能性のある以下のファイルを開きます。

• %System Root%\cgvi5r6i\vgdgfd.72g

マルウェアは、以下のレジストリの存在を確認します。

• HKEY_CURRENT_USER\Software\CommView
• HKEY_CURRENT_USER\SYSTEM\CurrentControlSet\Services\IRIS5
• HKEY_CURRENT_USER\Software\eEye Digital Security
• HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\Wireshark
• HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\App Paths\wireshark.exe
• HKEY_CURRENT_USER\SOFTWARE\ZxSniffer
• HKEY_CURRENT_USER\SOFTWARE\Cygwin
• HKEY_CURRENT_USER\SOFTWARE\Cygwin
• HKEY_CURRENT_USER\SOFTWARE\B Labs\Bopup Observer
• HKEY_CURRENT_USER\AppEvents\Schemes\Apps\Bopup Observer
• HKEY_CURRENT_USER\Software\B Labs\Bopup Observer
• HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\Win Sniffer_is1
• HKEY_CURRENT_USER\Software\Win Sniffer
• HKEY_CURRENT_USER\SOFTWARE\Classes\PEBrowseDotNETProfiler.DotNETProfiler
• HKEY_CURRENT_USER\Software\Microsoft\tVersion\Explorer\MenuOrder\Start \Debugging Tools for Windows (x86)
• HKEY_CURRENT_USER\SYSTEM\CurrentControlSet\Services\SDbgMsg
• HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\der\Start Menu2\Programs\APIS32.
• HKEY_CURRENT_USER\Software\Syser Soft
• HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\APIS32
• HKEY_CURRENT_USER\SOFTWARE\APIS32
• HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\Oracle VM VirtualBoxGuest Additions
• HKEY_CURRENT_USER\SYSTEM\CurrentControlSet\Services\VBoxGuest
• HKEY_CURRENT_USER\SOFTWARE\Microsoft\tVersion\Uninstall\Sandboxie
• HKEY_CURRENT_USER\SYSTEM\CurrentControlSet\Services\SbieDrv
• HKEY_CURRENT_USER\Software\Classes\Folder\shell\sandbox
• HKEY_CURRENT_USER\Software\Classes\*\shell\sandbox
• HKEY_CURRENT_USER\SOFTWARE\SUPERAntiSpyware.com
• HKEY_CURRENT_USER\SOFTWARE\Classes\SUPERAntiSpywareContextMenuExt.SASCon.1
• HKEY_CURRENT_USER\SOFTWARE\SUPERAntiSpyware.com
• HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\ERUNT_is1
• HKEY_CURRENT_USER\SYSTEM\ControlSet001\EnumRoot\LEGACY_TBN178D5\0000
• HKEY_CURRENT_USER\SYSTEM\CurrentControlSet\services\tbn178d5\DisplayName
• HKEY_CURRENT_USER\SYSTEM\ControlSet001\services\tbn178d5
• HKEY_CURRENT_USER\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_TBN178D5\0000

また、マルウェアは、読み込まれたライブラリも確認します。

• SBIEDLL.DLL
• SBIEDLLX.DLL
• DBGHELP.DLL

マルウェアは、以下の情報が一致しているかどうかを確認します。

• コンピュータ名 = Sandbox
• ユーザ名 = CurrentUser
• ファイル名 = file.exe

いくつかの条件が一致した場合、マルウェアは無限ループを実行します。

マルウェアは、正規ファイル”%User Profile%\Application Data\Mozilla\Firefox\Profiles\{random}\prefs.js”を以下へ追加します。

• user_pref("browser.search.selectedEngine", "http://www.bing.com/search?q={searchTerms}");