SYSIE

「SYSIE」または「Rabasheeta」と知られる「トロイの木馬」型マルウェアは、感染コンピュータ上でバックドアを開きます。このマルウェアは、メインのモジュールと環境設定ファイルを作成します。「SYSIE」の環境設定ファイルは、掲示板のカテゴリやBBSのID、このマルウェアがファイルをアップロードするURLを含みます。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

マルウェアは、実行後、自身を削除します。

インストール

マルウェアは、以下のコンポーネントファイルを作成します。

• {malware path}\cfg.dat
• %AppDataLocal%\Microsoft\iesys\cfg.dat
• %AppDataLocal%\Microsoft\iesys\iesys.exe
• {malware path}\del.bat

(註：%AppDataLocal%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local" です。)

マルウェアは、以下のフォルダを作成します。

• %AppDataLocal%\Microsoft\iesys

(註：%AppDataLocal%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local" です。)

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{malware filename}.exe = "{malware path}\{malware filename}.exe"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
iesys = "%AppDataLocal%\Microsoft\iesys\iesys.exe"

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Capture screenshots
• Download files
• Upload files
• Enumerate files and folders
• Execute files
• Get default Internet browser
• Navigate and open a URL in a hidden browser
• Log user keystrokes and mouse clicks
• Update self
• Update configuration file
• Update bulletin thread used
• Sleep for a specified amount of time
• Remove self from system

その他

マルウェアは、以下の不正なWebサイトにアクセスします。

• http://{BLOCKED}k.{BLOCKED}t.me/upld.php
• http://{BLOCKED}s.{BLOCKED}or.jp/bbs/rawmode.cgi/{boardcategory}/{bbsID}/{threadID}/
• http://{BLOCKED}s.{BLOCKED}or.jp/bbs/write.cgi/{boardcategory}/{bbsID}
• http://{BLOCKED}s.{BLOCKED}or.jp/bbs/write.cgi/study/11825/
• http://{BLOCKED}s.{BLOCKED}or.jp/bbs/write.cgi/music/27190/

マルウェアは、実行後、自身を削除します。

マルウェアが実行するコマンドは以下のとおりです。

• スクリーンショットの取得
• ファイルのダウンロード
• ファイルのアップロード
• ファイルおよびフォルダの列挙
• ファイルの実行
• デフォルトのインターネットブラウザの取得
• 隠しブラウザで特定のURLを操作および開く
• ユーザのキー入力操作情報およびマウスの操作の記録
• 自身のアップデート
• 環境設定ファイルの更新
• 利用した掲示板のスレッドの更新
• コンピュータを一定の時間スリープする
• コンピュータから自身を削除する