Fileless-KOVTER

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、Internet Explorer（IE）のゾーン設定を変更します。

マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。 マルウェアは、実行後、自身を削除します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %AppDataLocal%\{random folder name 1}\{random filename}.{random file extension} - Encrypted file
• %AppDataLocal%\{random folder name 1}\{random filename}.bat - starts Encrypted file
• %AppDataLocal%\{random folder name 1}\{random filename}.lnk - starts BAT file
• %Application Data%\{random folder name 2}\{random filename}.{random file extension} - Encrypted file
• %User Startup%\{random filename}.lnk - Starts Encrypted file

(註：%AppDataLocal%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local" です。. %Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.. %User Startup%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞\Start Menu\Programs\Startup" 、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、" C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup" です。.)

マルウェアは、以下のプロセスを追加します。

• %System%\regsvr32.exe

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

マルウェアは、以下のフォルダを作成します。

• %AppDataLocal%\{random folder name 1}
• %Application Data%\{random folder name 2}

(註：%AppDataLocal%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local" です。. %Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

マルウェアは、以下のプロセスにコードを組み込みます。

• %System%\regsvr32.exe

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{Random Value} = {Random Value} = %AppDataLocal%\{random folder name 1}\{random filename}.lnk

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{Random Value} = "%System%\mshta.exe" "javascript:{Random}="{Random}";{Random}=new ActiveXObject("WScript.Shell");{Random}="{Random}";{Random Variable}={Random}.RegRead("HKCU\software\{Random Registry Key}\{Random Registry Value}");{Random}="{Random}";eval({Random Variable});{Random}="{Random}";"

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_CLASSES_ROOT\{Random Value}

HKEY_CLASSES_ROOT\.{random file extension}

HKEY_CURRENT_USER\Software\{Random Registry Key}

HKEY_CLASSES_ROOT\{Random Value}\shell

HKEY_CLASSES_ROOT\{Random Value}\shell\
open

HKEY_CLASSES_ROOT\{Random Value}\shell\
open\command

マルウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\
Microsoft\Windows\WindowsUpdate
DisableOSUpgrade = 1

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\
Microsoft\Windows\WindowsUpdate\
OSUpgrade
ReservationsAllowed = 0

HKEY_CLASSES_ROOT\.{random file extension}
{Default} = {Random Value}

HKEY_CLASSES_ROOT\{Random Value}\shell\
open\command
{Default} = "%System%\mshta.exe" "javascript:{Random}="{Random}";{Random}=new ActiveXObject("WScript.Shell");{Random}="{Random}";{Random Variable}={Random}.RegRead("HKCU\software\{Random Registry Key}\{Random Registry Value}");{Random}="{Random}";eval({Random Variable});{Random}="{Random}";"

HKEY_CURRENT_USER\Software\{Random Registry Key}
{Random Registry Value 2} = Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 6.1; Trident/4.0; SLCC2; .NET CLR 2.0.50727; .NET CLR 3.5.30729; .NET CLR 3.0.30729; Media Center PC 6.0; InfoPath.2; .NET4.0C; .NET4.0E)

HKEY_CURRENT_USER\Software\{Random Registry Key}
{Random Registry Value} = {Encrypted Data - Powershell script}

HKEY_CURRENT_USER\Software\{Random Registry Key}
{Random Registry Value 3} = {Encrypted Data - to be decrypted by PowerShell process}

HKEY_CURRENT_USER\Software\{Random Registry Key}
{Random Registry Value 4} = {Random Characters}

HKEY_CURRENT_USER\Software\{Random Registry Key}
{Random Registry Value 5} = {Random Characters}

HKEY_CURRENT_USER\Software\{Random Registry Key}
{Random Registry Value 6} = {Random Characters}

Webブラウザのホームページおよび検索ページの変更

マルウェアは、IEのゾーン設定を変更します。

その他

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• http://{blocked}5.{blocked}7.72.90/upload.php
• http://{BLOCKED}.{BLOCKED}.67.23/upload.php
• {Random Generated IP Address} - used for click-fraud activity

マルウェアは、実行後、自身を削除します。