PUA.PHP.AFoxTest.A

プログラムは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

プログラムは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

プログラムは、特定の脆弱性を利用した感染活動を実行します。

侵入方法

プログラムは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

プログラムは、以下のファイルを作成します。

• {Malware file path}\{Random}.php

バックドア活動

プログラムは、不正リモートユーザからの以下のコマンドを実行します。

• Manage file system (create file, read file, query file, move file, delete file, create directory)
• Execute arbitrary commands (shell commands, PHP commands)
• Gain root access through Dirty Cow exploit
• Manage database
• Zip/unzip files
• Upload files
• Get user credentials
• Reset cPanel passwords
• Create SMTP/RDP/mailer
• Brute-force FTP credentials
• Bind port to shell
• Change backconnect configuration
• Remove self
• Deface index files
• Configure redirects

ダウンロード活動

プログラムは、以下のWebサイトにアクセスし、ファイルをダウンロードします。

• https://www.{BLOCKED}r.org/version/?current={Version}
• https://raw.githubusercontent.com/{BLOCKED}ox-com/0/main/leafmailer2.8.php

プログラムは、以下のファイル名でダウンロードしたファイルを保存します。

• {Malware file path}\adminer-{Random}.php
• {Malware file path}\mailer-{Random}.php

情報漏えい

トロイの木馬化されたアプリケーションが実行されると、[Malware]は、以下の情報を収集します。

• Username
• User account information
• Memory information (actual size, size of free space)
• Server information (loaded modules, phpinfo, server software, account settings)
• Current working directory and permissions
• Drives
• Operating system information
• IP address

その他

プログラムは、以下の脆弱性を利用して感染活動を実行します。

• CVE-2016-5195 (Dirty COW)

＜補足＞
インストール

プログラムは、以下のファイルを作成します。

• {プログラムのファイルのパス}\{ランダム}.php

バックドア活動

プログラムは、不正リモートユーザからの以下のコマンドを実行します。

• ファイルシステムの管理（ファイル作成、ファイル読み込み、ファイル問い合わせ、ファイル移動、ファイル削除、ディレクトリ作成）
• 任意のコマンドの実行 （シェルコマンド、PHPコマンド）
• Dirty Cowの脆弱性悪用によるルートアクセス権取得
• データベース管理
• ファイルのZip/Unzip
• ファイルのアップロード
• ユーザ認証情報の取得
• cPanelパスワードのリセット
• SMTP/RDP/メーラー作成
• FTP認証のブルートフォース
• シェルにポートをバインドする
• バックコネクトの設定変更
• 自身の削除
• インデックスファイルの改ざん
• リダイレクトの設定

ダウンロード活動

プログラムは、以下のWebサイトにアクセスし、ファイルをダウンロードします。

• https://www.{BLOCKED}r.org/version/?current={バージョン}
• https://raw.githubusercontent.com/{BLOCKED}ox-com/0/main/leafmailer2.8.php

プログラムは、以下のファイル名でダウンロードしたファイルを保存します。

• {プログラムのファイルのパス}\adminer-{ランダム}.php
• {プログラムのファイルのパス}\mailer-{ランダム}.php

情報漏えい

トロイの木馬化されたアプリケーションが実行されると、プログラムは、以下の情報を収集します。

• ユーザ名
• ユーザアカウント情報
• メモリ情報（実容量、空き容量）
• サーバ情報（ロードされたモジュール、phpinfo、サーバソフトウェア、アカウント設定）
• 現在の作業ディレクトリとパーミッション
• ドライブ
• オペレーティングシステム（OS）情報
• IPアドレス