HackTool.Win32.Radmin.GD

プログラムは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。 プログラムは、他のマルウェアに作成され、コンピュータに侵入します。

侵入方法

プログラムは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

プログラムは、以下のマルウェアに作成され、コンピュータに侵入します。

• TrojanSpy.Win32.BANRAP.AS

インストール

プログラムは、以下のファイルを作成します。

• %Program Files%\RDP Wrapper\rdpwrap.ini
• %Program Files%\RDP Wrapper\rdpwrap.dll

(註：%Program Files%フォルダは、デフォルトのプログラムファイルフォルダです。C:\Program Files in Windows 2000(32-bit)、Server 2003(32-bit)、XP、Vista(64-bit)、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files"です。また、Windows XP(64-bit)、Vista(64-bit)、7(64-bit)、8(64-bit)、8.1(64-bit)、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files（x86）" です。)

プログラムは、以下のフォルダを作成します。

• %Program Files%\RDP Wrapper

(註：%Program Files%フォルダは、デフォルトのプログラムファイルフォルダです。C:\Program Files in Windows 2000(32-bit)、Server 2003(32-bit)、XP、Vista(64-bit)、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files"です。また、Windows XP(64-bit)、Vista(64-bit)、7(64-bit)、8(64-bit)、8.1(64-bit)、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files（x86）" です。)

他のシステム変更

プログラムは、以下のレジストリ値を変更します。

HKLM\SYSTEM\ControlSet001\
services\TermService\Parameters
ServiceDll = %ProgramFiles%\RDP Wrapper\rdpwrap.dll

HKLM\SYSTEM\ControlSet001\
Control\Terminal Server
fDenyTSConnections = 0

HKLM\SYSTEM\ControlSet001\
Control\Terminal Server\Licensing Core
EnableConcurrentSessions = 1

HKLM\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
AllowMultipleTSSessions = 1

ダウンロード活動

プログラムは、以下のWebサイトにアクセスして自身の環境設定ファイルをダウンロードします。

• https://{BLOCKED}.{BLOCKED}usercontent.com/stascorp/rdpwrap/master/res/rdpwrap.ini

その他

プログラムは、以下のファイルの属性を隠しファイルおよびシステムファイル属性に設定します。

• %AppDataLocal%\Microsoft\Windows\Temporary Internet Files\Content.IE5
• %Application Data%\Microsoft\Windows\Cookies
• %AppDataLocal%\Microsoft\Windows\History\History.IE5

(註：%AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。. %Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

プログラムは、以下を実行します。

• 以下のコマンドを実行して、ファイアウォールで許可されたプロファイルに自身を追加します。
  • netsh advfirewall firewall add rule name="Remote Desktop" dir=in protocol=tcp localport=3389 profile=any action=allow
• プログラムは、環境設定に応じて、以下の機能を備えています。
  • "General Settings"(一般設定):
    • "Single user per session"（1人のユーザに1つのセッション）
    • "Hide users on logon screen"（ログオン画面でユーザを非表示にする）
    • "Allow to start custom programs" （カスタムプログラムの起動を許可する）
  • "Authentication Mode"(認証モード):
    • "GUI Authentication Only"（GUI認証のみ）
    • "Default RDP"（デフォルトRDP）
    • "Network Level Authentication"（ネットワークレベルの認証）
  • "Session Shadowing Mode"（シャドウイングモード・セッション）：
    • "Disable Shadowing"（シャドウイングの無効化）
    • "Full access with user's permission"（ユーザの許可ありでフルアクセス）
    • "Full access without user's permission" （ユーザの許可なしでフルアクセス）
    • "View only with user's permission"（ユーザの許可ありの場合のみ表示）
    • "View only without permission" （許可なしの場合のみ表示）

＜補足＞
侵入方法

プログラムは、以下のマルウェアに作成され、コンピュータに侵入します。

• TrojanSpy.Win32.BANRAP.AS