解析者: Rheniel Rhay Ramos   

 別名:

Java.Trojan.Agent.FU (Bitdefender); HEUR:Trojan.Java.Agent.gen (Kaspersky); JV/Backdoor-Adwind.m(McAfee)

 プラットフォーム:

Windows

 危険度:
 ダメージ度:
 感染力:
 感染確認数:
 情報漏えい:

  • マルウェアタイプ:
    バックドア型

  • 破壊活動の有無:
    なし

  • 暗号化:
    はい

  • 感染報告の有無 :
    はい

  概要

感染経路 インターネットからのダウンロード, 他のマルウェアからの作成

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、特定のレジストリ値を追加し、タスクマネージャを無効にします。これにより、通常はタスクマネージャを介して行うマルウェアのプロセスの終了が実行できなくなります。

マルウェアは、不正リモートユーザからリモートで受信する特定のコマンドを実行します。これにより、感染コンピュータおよび同コンピュータ上の情報は危険にさらされることとなります。 マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。

  詳細

ファイルサイズ 636,560 bytes
タイプ JAR
メモリ常駐 なし
発見日 2017年8月1日
ペイロード システムセキュリティへの感染活動, 情報収集

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

  • %UserProfile%\nYbQTVxcHuE\uiylKSALYJr.Vybgol

マルウェアは、以下のファイルを作成します。

  • %ProgramData%\Oracle\Java\.oracle_jre_usage\{random name1}.timestamp -> time usage of oracle
  • %System%\test.txt -> used to check for admin rights
  • %User Profile%\fUTkALeaTxM\ID.txt -> contains UUID
  • %User Profile%\nYbQTVxcHuE\ID.txt -> contains UUID
  • %User Temp%\hsperfdata_{username}\{process ID} -> contains details of the malware (2 files)
  • %User Temp%\{random name2}.reg -> contains log of registries modified by the malware
  • %User Temp%\Retrive{random numbers}.vbs -> script to detect installed AV security and Firewall products (deleted after execution) (4 files)

(註:%ProgramData%フォルダは、Windows Vista および 7 の場合、通常、"C:\ProgramData"、Windows 2000、XP (32ビット)、Server 2003 の場合、"C:\Program Files"、Windows XP (64ビット) の場合、"C:\Program Files (x86)" です。. %System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.. %User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\<ユーザ名>"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\<ユーザ名>" です。.. %User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\<ユーザー名>\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\<ユーザ名>\AppData\Local\Temp" です。.)

マルウェアは、以下のファイルを作成し実行します。

  • %User Temp%\0.{random numbers}.class -> class to be loaded by main executable JAR

(註:%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\<ユーザー名>\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\<ユーザ名>\AppData\Local\Temp" です。.)

マルウェアは、以下のプロセスを追加します。

  • %ProgramData%\Oracle\Java\jre1.8.0_144\bin\java.exe
  • %ProgramData%\Oracle\Java\jre1.8.0_144\bin\javaw.exe
  • %System%\taskkill.exe /IM {process name} /T /F -> where {process name} could be one of the following processes terminated by the malware
  • %System%\xcopy "%Program Files%\Java\jre{version}" "%Application Data%\Oracle\" /e -> copy files and directory trees of Java Installation folder to %Application Data%\Oracle folder

(註:%ProgramData%フォルダは、Windows Vista および 7 の場合、通常、"C:\ProgramData"、Windows 2000、XP (32ビット)、Server 2003 の場合、"C:\Program Files"、Windows XP (64ビット) の場合、"C:\Program Files (x86)" です。. %System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.. %Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\<ユーザ名>\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\<ユーザ名>\AppData\Roaming" です。.)

マルウェアは、以下のフォルダを作成します。

  • %Application Data%\Oracle
  • %User Profile%\fUTkALeaTxM
  • %User Profile%\fUTkALeaTxM\DdWDtpinxpf -> plugin folder
  • %User Profile%\nYbQTVxcHuE
  • %User Temp%\hsperfdata_{User Name}

(註:%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\<ユーザ名>\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\<ユーザ名>\AppData\Roaming" です。.. %User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\<ユーザ名>"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\<ユーザ名>" です。.. %User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\<ユーザー名>\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\<ユーザ名>\AppData\Local\Temp" です。.)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
WLyQyhWoosi = ""%Application Data%\Oracle\bin\javaw.exe" -jar "%UserProfile%\nYbQTVxcHuE\uiylKSALYJr.Vybgol""

他のシステム変更

マルウェアは、インストールの過程で、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Image File Execution Options\
{process name}
debugger = "svchost.exe"
where {process name} could be one of the following processes terminated by the malware

マルウェアは、以下のレジストリ値を追加し、タスクマネージャを無効にします。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
System
DisableTaskMgr = "2"

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

  • Download Plug-ins
  • Download and Execute Files
  • Update itself
  • Uninstall itself
  • Reset Connection
  • Terminate Process
  • Sceen Capture
  • Access Webcam
  • Log Keystrokes

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

  • {BLOCKED}.{BLOCKED}.27.66:1010

プロセスの終了

マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

  • acs.exe
  • AdAwareDesktop.exe
  • AdAwareService.exe
  • AdAwareTray.exe
  • AgentSvc.exe
  • av_task.exe
  • AVK.exe
  • AVKProxy.exe
  • AVKService.exe
  • AVKTray.exe
  • AVKWCtlx64.exe
  • avpmapp.exe
  • Bav.exe
  • bavhm.exe
  • BavSvc.exe
  • BavTray.exe
  • BavUpdater.exe
  • BavWebClient.exe
  • BDSSVC.EXE
  • BgScan.exe
  • BullGuard.exe
  • BullGuardBhvScanner.exe
  • BullGuardUpdate.exe
  • BullGuarScanner.exe
  • capinfos.exe
  • cavwp.exe
  • CertReg.exe
  • cis.exe
  • CisTray.exe
  • clamscan.exe
  • ClamTray.exe
  • ClamWin.exe
  • cmdagent.exe
  • ConfigSecurityPolicy.exe
  • CONSCTLX.EXE
  • coreFrameworkHost.exe
  • coreServiceShell.exe
  • dragon_updater.exe
  • dumpcap.exe
  • econceal.exe
  • econser.exe
  • editcap.exe
  • EMLPROXY.EXE
  • escanmon.exe
  • escanpro.exe
  • fcappdb.exe
  • FCDBlog.exe
  • FCHelper64.exe
  • FilMsg.exe
  • FilUp.exe
  • filwscc.exe
  • filwscc.exe
  • fmon.exe
  • FortiClient.exe
  • FortiClient_Diagnostic_Tool.exe
  • FortiESNAC.exe
  • FortiFW.exe
  • FortiProxy.exe
  • FortiSSLVPNdaemon.exe
  • FortiTray.exe
  • FPAVServer.exe
  • FProtTray.exe
  • FPWin.exe
  • freshclam.exe
  • freshclamwrap.exe
  • fsgk32.exe
  • FSHDLL64.exe
  • fshoster32.exe
  • FSM32.EXE
  • FSMA32.EXE
  • fsorsp.exe
  • fssm32.exe
  • GdBgInx64.exe
  • GDKBFltExe32.exe
  • GDSC.exe
  • GDScan.exe
  • guardxkickoff_x64.exe
  • guardxservice.exe
  • iptray.exe
  • K7AVScan.exe
  • K7CrvSvc.exe
  • K7EmlPxy.EXE
  • K7FWSrvc.exe
  • K7PSSrvc.exe
  • K7RTScan.exe
  • K7SysMon.Exe
  • K7TSecurity.exe
  • K7TSMain.exe
  • K7TSMngr.exe
  • LittleHook.exe
  • mbam.exe
  • mbamscheduler.exe
  • mbamservice.exe
  • MCShieldCCC.exe
  • MCShieldDS.exe
  • MCShieldRTM.exe
  • MCS-Uninstall.exe
  • mergecap.exe
  • MpCmdRun.exe
  • MpUXSrv.exe
  • MSASCui.exe
  • MsMpEng.exe
  • MWAGENT.EXE
  • MWASER.EXE
  • nanoav.exe
  • nanosvc.exe
  • nbrowser.exe
  • nfservice.exe
  • NisSrv.exe
  • njeeves2.exe
  • nnf.exe
  • nprosec.exe
  • NS.exe
  • nseupdatesvc.exe
  • nvcod.exe
  • nvcsvc.exe
  • nvoy.exe
  • nwscmon.exe
  • ONLINENT.EXE
  • op_mon.exe
  • OPSSVC.EXE
  • ProcessHacker.exe
  • procexp.exe
  • PSANHost.exe
  • PSUAMain.exe
  • PSUAService.exe
  • psview.exe
  • PtSessionAgent.exe
  • PtSvcHost.exe
  • PtWatchDog.exe
  • quamgr.exe
  • quamgr.exe
  • QUHLPSVC.EXE
  • Rawshark.exe
  • regedit.exe
  • SAPISSVC.EXE
  • SASCore64.exe
  • SASTask.exe
  • SBAMSvc.exe
  • SBAMTray.exe
  • SBPIMSvc.exe
  • SCANNER.EXE
  • SCANWSCS.EXE
  • schmgr.exe
  • scproxysrv.exe
  • ScSecSvc.exe
  • SDFSSvc.exe
  • SDScan.exe
  • SDTray.exe
  • SDWelcome.exe
  • SSUpdate64.exe
  • SUPERAntiSpyware.exe
  • SUPERDelete.exe
  • Taskmgr.exe
  • text2pcap.exe
  • TRAYICOS.EXE
  • TRAYSSER.EXE
  • trigger.exe
  • tshark.exe
  • twsscan.exe
  • twssrv.exe
  • uiSeAgnt.exe
  • uiUpdateTray.exe
  • uiWatchDog.exe
  • uiWinMgr.exe
  • UnThreat.exe
  • UserAccountControlSettings.exe
  • UserReg.exe
  • utsvc.exe
  • V3Main.exe
  • V3Medic.exe
  • V3Proxy.exe
  • V3SP.exe
  • V3Svc.exe
  • V3Up.exe
  • VIEWTCP.EXE
  • VIPREUI.exe
  • virusutilities.exe
  • WebCompanion.exe
  • wireshark.exe
  • Zanda.exe
  • Zlh.exe
  • zlhh.exe

  対応方法

対応検索エンジン: 9.850
初回 VSAPI パターンバージョン 13.574.02
初回 VSAPI パターンリリース日 2017年8月1日
VSAPI OPR パターンバージョン 13.575.00
VSAPI OPR パターンリリース日 2017年8月2日

手順 1

Windows XP、Windows Vista および Windows 7 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

手順 2

このマルウェアもしくはアドウェア等の実行により、手順中に記載されたすべてのファイル、フォルダおよびレジストリキーや値がコンピュータにインストールされるとは限りません。インストールが不完全である場合の他、オペレーティングシステム(OS)の条件によりインストールがされない場合が考えられます。手順中に記載されたファイル/フォルダ/レジストリ情報が確認されない場合、該当の手順の操作は不要ですので、次の手順に進んでください。

手順 3

Windowsをセーフモードで再起動します。

[ 詳細 ]

手順 4

このレジストリ値を削除します。

[ 詳細 ]

警告:レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。

  • In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
    • WLyQyhWoosi = ""%Application Data%\Oracle\bin\javaw.exe" -jar "%UserProfile%\nYbQTVxcHuE\uiylKSALYJr.Vybgol""
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\{process name}
    where {process name} could be one of the following processes terminated by the malwar
    • debugger = "svchost.exe"
  • In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System
    • DisableTaskMgr = "2"

手順 5

以下のフォルダを検索し削除します。

[ 詳細 ]
フォルダが隠しフォルダ属性に設定されている場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。
  • %Application Data%\Oracle
  • %User Profile%\fUTkALeaTxM
  • %User Profile%\fUTkALeaTxM\DdWDtpinxpf
  • %User Profile%\nYbQTVxcHuE
  • %User Temp%\hsperfdata_{User Name}

手順 6

以下のファイルを検索し削除します。

[ 詳細 ]
コンポーネントファイルが隠しファイル属性に設定されている場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。
  • %System%\test.txt
  • %User Temp%\0.{random numbers}.class
  • %User Temp%\{random name2}.reg

手順 7

コンピュータを通常モードで再起動し、最新のバージョン(エンジン、パターンファイル)を導入したウイルス対策製品を用い、「JAVA_ADWIND.JEJPDI」と検出したファイルの検索を実行してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。


ご利用はいかがでしたか? アンケートにご協力ください