BKDR_SKYTIC.AA

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。 マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %User Temp%\token.txt - generatad ID

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

マルウェアは、以下のファイルを作成し実行します。

• %User Temp%\Temp\IXP000.TMP\INSTAL~2.EXE - non malicious Flash Player Installer to trick the user.
• %User Temp%\StickyNotes.exe - detected as BKDR_SKYTIC.AA

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\RunOnce
Windows = "%User Temp%\StickyNotes.exe"

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Download or Upload file
• Perform Remote Shell Command

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• {BLOCKED}.{BLOCKED}.225.243:443
• {BLOCKED}.{BLOCKED}.225.243:8080
• {BLOCKED}.{BLOCKED}.225.243:2100
• {BLOCKED}.{BLOCKED}.225.243:2200
• http://www.{BLOCKED}lash11.com/index.php?a=ila
• http://www.{BLOCKED}lash11.com/index.php?a=b

作成活動

マルウェアは、以下のファイルを作成します。このファイルは、キー入力操作情報を収集するために利用されます。

• %User Temp%\154AFF54BCb343e5bfdabc054ab45d67.tmp

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

マルウェアは、収集した情報を保存するために以下のファイルを作成します。

• %User Temp%\HaSc.txt
• %User Temp%\HaSc.zip - where it list all the found files, directories, and installed devices
• %User Temp%\dA5F54D1A1.tmp - filename use for screenshots
• %User Profile%\ApplicatiLocal\Temp\gcdata.txt - Browser Login Credentials

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.. %User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞" です。.)

情報漏えい

マルウェアは、以下の情報を収集します。

• All installed devices, directory and files of the infected system
• Steal Google Chrome Browser login credentials
• Keystrokes