PUA.Win32.ActivityMonitor.B

プログラムは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

プログラムは、特定のレジストリ値を削除するため、アプリケーションやプログラムが正しく起動しなくなります。

侵入方法

プログラムは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

プログラムは、以下のファイルを作成します。

• %Windows%\system\sys\syssettings\config.ini
• %Windows%\system\sys\syscon\Fport.exe
• %Windows%\system\sys\syscon\ipseccmd.exe
• %Windows%\system\sys\syscon\ipsecpol.exe
• %Windows%\system\sys\syscon\text2pol.dll
• %Windows%\system\sys\syscon\ipsecutil.dll
• %User Temp%\Low\sysinfo.bat → execute system info
• %User Temp%\Low\systeminfo.txt → Output of system info
• %User Temp%\DB\soft_run.tbl → software database
• %User Temp%\Low\dev_old.cfg → list of hardware installed
• %User Temp%\Low\dev_new.cfg → list of hardware installed
• %User Temp%\Low\soft_old.cfg → list of software installed
• %User Temp%\Low\soft_new.cfg → list of software installed
• %User Temp%\Low\soft_mini.cfg → list of software installed
• %User Temp%\Low\software.cfg → list of software installed
• %User Temp%\Low\sysinfo.cfg → Output of system info
• %User Temp%\Low\clipboard\{date}.cfg → Logging of clipboard data
• %User Temp%\Low\itech.ini → instant messaging config
• %User Temp%\Low\syslog\{date}.cfg → system event logs
• %User Temp%\Low\config.ini → config file
• %User Temp%\Low\calsum\{date}.ini → File/Data security logs
• %User Temp%\Low\SCREEN\{datetime}.jpg → snapshot
• %User Temp%\Low\alarm\{date}.cfg
• %User Temp%\Low\netstat.bat → execute netstat
• %User Temp%\Low\tasklist.bat → execute tasklist
• %User Temp%\Low\nconnections.bat → execute netstat
• %User Temp%\Low\netshare.bat → execute net share
• %User Temp%\Low\sc.bat → execute sc query
• %User Temp%\Low\syscsv.bat → execute systeminfo
• %User Temp%\Low\diskspace.bat → execute WMIC to gather logical disk information
• %User Temp%\Low\wmicsoftware.bat → execute WMIC to gather all installed application
• %User Temp%\Low\netshare.txt → output of netshare.bat
• %User Temp%\Low\tasklist.txt → output of tasklist.bat
• %User Temp%\Low\diskspace.txt → output of diskspace.bat
• %User Temp%\Low\sc.txt → output of sc.bat
• %User Temp%\Low\netstat.txt → output of netstat.bat
• %User Temp%\Low\nconnections.txt → output of nconnections.bat
• %User Temp%\Low\wmicsoftware.txt → output of wmicsoftware.bat
• %User Temp%\Low\syscsv.txt → output of syscsv.bat
• %User Temp%\Low\{date}traffic.ini → network traffic logs

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.. %User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

プログラムは、以下のプロセスを追加します。

• cmd /c %User Temp%\Low\sysinfo.bat
• systeminfo > "%User Temp%\Low\systeminfo.txt"
• mspts.exe
• enumdev.exe
• cmd /c %User Temp%\Low\netstat.bat
• cmd /c %User Temp%\Low\tasklist.bat
• cmd /c %User Temp%\Low\nconnections.bat
• cmd /c %User Temp%\Low\netshare.bat
• cmd /c %User Temp%\Low\sc.bat
• cmd /c %User Temp%\Low\syscsv.bat
• cmd /c %User Temp%\Low\diskspace.bat
• cmd /c %User Temp%\Low\wmicsoftware.bat
• WMIC LOGICALDISK GET DESCRIPTION,DEVICEID,FILESYSTEM,SIZE,FREESPACE > "%User Temp%\Low\diskspace.txt"
• netstat -bt > "%User Temp%\Low\nconnections.txt"
• net share > "%User Temp%\Low\netshare.txt"
• netstat -e > "%User Temp%\Low\netstat.txt"
• sc query > "%User Temp%\Low\sc.txt"
• systeminfo > "%User Temp%\Low\syscsv.txt"
• tasklist > "%User Temp%\Low\tasklist.txt"
• WMIC product get name,version > "%User Temp%\Low\wmicsoftware.txt"

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

プログラムは、以下のフォルダを作成します。

• %User Temp%\Low
• %User Temp%\Low\reg_backup
• %User Temp%\Low\smtp_file
• %User Temp%\Low\pop3_file
• %User Temp%\Low\attendance
• %User Temp%\Low\file_transfer_backup
• %User Temp%\Low\outlook
• %User Temp%\Low\agentupgrade
• %User Temp%\Low\SCREEN
• %User Temp%\Low\appfiles
• %User Temp%\Low\alarm
• %User Temp%\Low\calsum
• %User Temp%\Low\clipboard
• %User Temp%\Low\sc
• %User Temp%\Low\SCREEN
• %User Temp%\Low\syslog
• %User Temp%\DB

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

プログラムは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• EagleEye 1.5 - EagleEye 2005.11.04

他のシステム変更

プログラムは、以下のファイルを削除します。

• %Application Data%\imonitor\ProcGuard.exe
• %Application Data%\imonitor\Client.exe
• %System Root%\Client.exe
• %System Root%\ProcGuard.exe
• %Windows%\system\sys\syscon\Client.exe
• %User Temp%\Low\websitedownload.cfg
• %User Temp%\Low\websitesearch.cfg
• %User Temp%\Low\site.cfg
• %User Temp%\Low\websiteurl.cfg
• %User Temp%\Low\ss_client.log
• %User Temp%\Low\outlook.log
• %User Temp%\Low\eamusb.txt
• %User Temp%\DB\soft_run.tbl
• %User Temp%\Low\run_proc.cfg
• %System Root%\sip.bat

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。. %System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.. %Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.. %User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

プログラムは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
THC\LockSeting
lock_flag = {string}

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
THC\LockSeting
device = {string}

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
THC\LockSeting
software = {string}

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
THC\OutDevice
usb = {string}

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
THC\OutDevice
comm = {string}

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
THC\OutDevice
bing = {string}

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
THC\OutDevice
cdrom = {string}

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
THC\OutDevice
softdisk = {string}

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
THC\TermSetting
autostart_client = {string}

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
THC\TermSetting
enable_procrule = {string}

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
THC\TermSetting
incoming = {string}

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
THC\TermSetting
outgoing = {string}

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
THC\TermSetting
LMOUSE = {string}

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
THC\TermSetting
RMOUSE = {string}

プログラムは、以下のレジストリ値を削除します。

SOFTWARE\Microsoft\Windows\
CurrentVersion\Run
ProcGuard =

その他

プログラムは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
THC

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
THC\TermSetting

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
THC\LockSeting

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
THC\FileSetting

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
THC\OutDevice

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
THC\Printer

プログラムは、以下を実行します。

• リモートユーザーからの以下のコマンドを実行します。
  • リモートアクセス/コントロール
  • スナップショット
  • リモートカメラ
  • ファイルの管理（移動、コピー、削除、送信、受信）
  • 電源制御（シャットダウン、再起動、ログオフ、ロック）
  • 現在のプロセスの表示
  • 選択したプロセスの終了
  • サービスの表示
  • オートランの表示
  • IPアドレスの表示
  • ネットワーク共有の表示
  • メッセージの送信
  • コマンドを送信
  • 実行中のアプリケーションの表示
  • レポート作成
    • 作業概要
    • ネットワークトラフィック
    • アプリケーション
    • Webサイト
    • キーストローク
    • クリップボード
    • ファイル
    • USBデバイス
    • 印刷ジョブ
    • 電子メール
    • システムイベント
    • EAMアラート
    • キーワード
    • チャット履歴
  • コンピュータログ
    • システム
    • ネットワークトラフィック
    • キーストローク
    • アプリ履歴
    • システムイベント
    • アラート
    • キーワードログ
    • ソフトウェア
    • ハードウェア
    • インターネット
    • Eメール
    • Web
    • チャット
    • オンラインストレージ
    • ソーシャルサイト
    • ファイル/データセキュリティ
    • クリップボード
    • ファイル
    • USBデバイス
    • ファイルのバックアップ
    • ファイル転送
    • 印刷ジョブ
• プログラムが意図した不正活動を実行するためには、以下のファイルが必要です。
  • highgui100.dll
  • cxcore100.dll
  • cvcam100.dll
• リモートコマンドを待ち受けるために、以下のポートをオープンします。
  • 25814

＜補足＞
インストール

プログラムは、以下のファイルを作成します。

• %Windows%\system\sys\syssettings\config.ini
• %Windows%\system\sys\syscon\Fport.exe
• %Windows%\system\sys\syscon\ipseccmd.exe
• %Windows%\system\sys\syscon\ipsecpol.exe
• %Windows%\system\sys\syscon\text2pol.dll
• %Windows%\system\sys\syscon\ipsecutil.dll
• %User Temp%\Low\sysinfo.bat → system infoを実行する
• %User Temp%\Low\systeminfo.txt → system infoの出力
• %User Temp%\DB\soft_run.tbl → ソフトウェアデータベース
• %User Temp%\Low\dev_old.cfg → インストールされたハードウェアのリスト
• %User Temp%\Low\dev_new.cfg → インストールされたハードウェアのリスト
• %User Temp%\Low\soft_old.cfg → インストールされたソフトウェアのリスト
• %User Temp%\Low\soft_new.cfg → インストールされたソフトウェアのリスト
• %User Temp%\Low\soft_mini.cfg → インストールされたソフトウェアのリスト
• %User Temp%\Low\software.cfg → インストールされたソフトウェアのリスト
• %User Temp%\Low\sysinfo.cfg → system infoの出力
• %User Temp%\Low\clipboard\{date}.cfg → クリップボードデータログ
• %User Temp%\Low\itech.ini → インスタントメッセージング設定
• %User Temp%\Low\syslog\{date}.cfg → システムイベントログ
• %User Temp%\Low\config.ini → コンフィグファイル
• %User Temp%\Low\calsum\{date}.ini → ファイル/データセキュリティログ
• %User Temp%\Low\SCREEN\{datetime}.jpg → スナップショット
• %User Temp%\Low\alarm\{date}.cfg
• %User Temp%\Low\netstat.bat → netstatを実行する
• %User Temp%\Low\tasklist.bat → tasklistを実行する
• %User Temp%\Low\nconnections.bat → netstatを実行する
• %User Temp%\Low\netshare.bat → net shareを実行する
• %User Temp%\Low\sc.bat → sc queryを実行する
• %User Temp%\Low\syscsv.bat → systeminfoを実行する
• %User Temp%\Low\diskspace.bat →論理ディスク情報を収集するためにWMIC を実行する
• %User Temp%\Low\wmicsoftware.bat →インストールされたアプリ情報を収集するためにWMIC を実行する
• %User Temp%\Low\netshare.txt → netshare.batの出力
• %User Temp%\Low\tasklist.txt → tasklist.batの出力
• %User Temp%\Low\diskspace.txt → diskspace.batの出力
• %User Temp%\Low\sc.txt → sc.batの出力
• %User Temp%\Low\netstat.txt → netstat.batの出力
• %User Temp%\Low\nconnections.txt → nconnections.batの出力
• %User Temp%\Low\wmicsoftware.txt → wmicsoftware.batの出力
• %User Temp%\Low\syscsv.txt → syscsv.batの出力
• %User Temp%\Low\{date}traffic.ini → ネットワークトラフィックログ