TROJ_ROVNIX.PC

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。 マルウェアは、リモートサイトから他のマルウェアまたはグレイウェアにダウンロードされ、コンピュータに侵入します。

マルウェアは、ワーム活動の機能を備えていません。

マルウェアは、バックドア活動の機能を備えていません。

マルウェアは、Internet Explorer（IE）のゾーン設定を変更します。

ただし、情報公開日現在、このWebサイトにはアクセスできません。

マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。 マルウェアは、特定の脆弱性を利用した感染活動を実行します。 ただし、情報公開日現在、このWebサイトにはアクセスできません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、リモートサイトから以下のマルウェアまたはグレイウェアにダウンロードされ、コンピュータに侵入します。

• JS_ROVNIX.D

インストール

マルウェアは、異なるファイル名を用いて以下のフォルダ内に自身のコピーを作成します。

• "%Application Data%\BackUp{Volume ID}.exe"

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

マルウェアは、以下のファイルを作成します。

• %User Temp%\L{Volume ID}
• %User Temp%\NTFS.sys
• %User Temp%\tmp{random characters}.tmp
• %System%\BOOT.dat

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.. %System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

マルウェアは、以下のファイルを作成し実行します。

• %Application Data%\Microsoft\Crypto\RSA\RSA{Volume ID}.dll <- component responsible for downloading other ROVNIX components

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• Global\INSNTFS{Volume ID}
• Global\UACNTFS{Volume ID}
• Global\BDNTFS{Volume ID}

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
BackUp{Volume ID} = "%Application Data%\BackUp{Volume ID}.exe"

マルウェアは、以下のサービスを追加し、実行します。

• Service Name: BS{Volume ID}
  Display Name: BS{Volume ID}
  Start Type: SERVICE_DEMAND_START
  Binary Pathname: %User Temp%\NTFS.sys

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

マルウェアは、作成されたコンポーネントがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
RSA{Volume ID} = "%System%\rundll32.exe "%Application Data%\Microsoft\Crypto\RSA\RSA{Volume ID}.dll",DllInitialize"

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Installer\Products\B{Volume ID}
LP = "%User temp%\L{Volume ID}"

HKEY_CURRENT_USER\Software\Microsoft\
Installer\Products\B{Volume ID}
ID = "-- default --"

HKEY_CURRENT_USER\Software\Microsoft\
Installer\Products\B{Volume ID}
SH1 = "{C&C server}"

HKEY_CURRENT_USER\Software\Microsoft\
Installer\Products\B{Volume ID}
SH2 = "{C&C server}"

HKEY_CURRENT_USER\Software\Microsoft\
Installer\Products\B{Volume ID}
SH3 = "{C&C server}"

HKEY_CURRENT_USER\Software\Microsoft\
Installer\Products\B{Volume ID}\
PLUGIN
{CRC32 string} = "{Encrypted code of a binary file}"

感染活動

マルウェアは、ワーム活動の機能を備えていません。

バックドア活動

マルウェアは、バックドア活動の機能を備えていません。

プロセスの終了

マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• iexplore.exe

Webブラウザのホームページおよび検索ページの変更

マルウェアは、IEのゾーン設定を変更します。

ダウンロード活動

マルウェアは、以下のWebサイトから自身のコピーの更新版をダウンロードします。

• http://{BLOCKED}roke.com/17635908.zip

マルウェアは、以下のWebサイトにアクセスして自身のコンポーネントファイルをダウンロードします。

• http://{domain name}/download/{CRC32 String}32.zip

ただし、情報公開日現在、このWebサイトにはアクセスできません。

その他

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• http://{BLOCKED}roke.com/cgi-bin/240216/post.cgi
• http://{domain name}/login.asp
• http://{domain name}/images/transparent.gif
• http://{domain name}/images/pixel.gif
• http://{domain name}/images/logout.gif
• Where {domain name} can be any of the following:
  • {BLOCKED}roke.com
  • {BLOCKED}roke2.com
  • {BLOCKED}roke3.com
  • {BLOCKED}atlyhwq.onion
  • {randomly generated domain}.ru
  • {randomly generated domain}.com
  • {randomly generated domain}.net
  • {randomly generated domain}.biz

マルウェアは、以下のプロセスの存在を確認します。

• explorer.exe

マルウェアは、以下の脆弱性を利用して感染活動を実行します。

• (MS13-053) Vulnerabilities in Windows Kernel-Mode Drivers Could Allow Remote Code Execution (2850851)
• (MS14-058) Vulnerabilities in Kernel-Mode Driver Could Allow Remote Code Execution (3000061)
• (MS15-051) Vulnerabilities in Windows Kernel-Mode Drivers Could Allow Elevation of Privilege (3057191)
• (MS15-077) Vulnerability in ATM Font Driver Could Allow Elevation of Privilege (3077657)

ただし、情報公開日現在、このWebサイトにはアクセスできません。

マルウェアは、以下のいずれかのユーザ名が感染コンピュータで確認される場合、自身を終了します。

• luser
• perl
• python
• trace
• dump

マルウェアは、作成し実行する以下のファイルは、別の「ROVNIX」コンポーネントファイルをダウンロードするコンポーネントです。

• %Application Data%\Microsoft\Crypto\RSA\RSA{Volume ID}.dll

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• http://{BLOCKED}roke.com/cgi-bin/240216/post.cgi
• http://{domain name}/login.asp
• http://{domain name}/images/transparent.gif
• http://{domain name}/images/pixel.gif
• http://{domain name}/images/logout.gif
• {domain name}には以下のいずれかが当てはまります。
  • {BLOCKED}roke.com
  • {BLOCKED}roke2.com
  • {BLOCKED}roke3.com
  • {BLOCKED}atlyhwq.onion
  • {randomly generated domain}.ru
  • {randomly generated domain}.com
  • {randomly generated domain}.net
  • {randomly generated domain}.biz

マルウェアは、以下の脆弱性を利用して感染活動を実行します。

• (MS13-053) Windows カーネルモード ドライバーの脆弱性により、リモートでコードが実行される(2850851)
• (MS14-058) Windows カーネルモード ドライバーの脆弱性により、リモートでコードが実行される(3000061)
• (MS15-051) Windows カーネルモード ドライバーの脆弱性により、特権が昇格される (3057191)
• (MS15-077) ATM フォント ドライバーの脆弱性により、特権が昇格される (3077657)

マルウェアは以下の情報を収集し、自身のサーバに報告します。

• マルウェアのID
• ログファイルのファイルパスと名称
• オペレーティング・システム(OS)のバージョンおよびアーキテクチャ
• ファイルシステム
• ボリュームID
• コンピュータの日付および時刻
• 子プロセスID
• 子ファイルのパスとファイル名
• 親プロセスID
• 親ファイルのパスとファイル名
• マルウェアの現在のディレクトリ
• ユーザ名
• SIDの副権限のレベル