Trojan.VBS.MALXMR.THEBIBO

マルウェアは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。 マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %Public%\Libraries\Content → Coinminer.PS1.MALXMR.MPN
• %Public%\Libraries\reg.bat
• For Windows 10:
  
  • %User Temp%\CMSTP.inf

マルウェアは、以下のプロセスを追加します。

• uac {%User Temp%\CMSTP.inf} {Command to execute} (For Windows 10 only)

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
CheckIN = powershell -exec bypass -windowStyle hidden -enc {Content of %Public%\Libraries\Content}

感染活動

上記INFファイルには、以下の文字列が含まれています。

[version]
Signature=`$chicago`$
AdvancedINF=2.5

[DefaultInstall]
CustomDestination=CustInstDestSectionAllUsers
RunPreSetupCommands=RunPreSetupCommandsSection

[RunPreSetupCommandsSection]
; Commands Here will be run Before Setup Begins to install
{Command to execute}
taskkill /IM cmstp.exe /F

[CustInstDestSectionAllUsers]
49000,49001=AllUSer_LDIDSection, 7

[AllUSer_LDIDSection]
"HKLM", "SOFTWARE\Microsoft\Windows\CurrentVersion\App Paths\CMMGR32.EXE", "ProfileInstallPath", "%UnexpectedError%", ""

[Strings]
ServiceName="CorpVPN"
ShortSvcName="CorpVPN"

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスして自身のコンポーネントファイルをダウンロードします。

• https://{BLOCKED}d.ly/Firts
  
  • redirects to: http://{BLOCKED}xrkbiepyylgdcwrcjimxnfsrbgravivgbannnpnubawpdvekzbdbuqrd.{BLOCKED}.com.ua/uac.txt

その他

マルウェアは、以下を実行します。

• For Windows 7, it will bypass UAC (User Access Control) by using the Invoke-PsUACme method by using the following parameters:
  
  • -Payload {Command to execute}
  • -CustomDLL32 {DLL to be used for "method" parameter}
  • -CustomDLL64 {DLL to be used for "method" parameter}
  • If CustomDLL32 and/or CustomDLL64 parameters are not used, it will used the hard-coded DLLs on the script instead.
  • -method
  • method types:
  • Sysrep
  • OOBE
  • ActionQueue
  • migwiz
  • cliconfg
  • winsat
  • mmc
• For every "method" type used, the contents of the DLL stated on "CustomDLL32/64" parameters or the hard-coded DLL will be written on a created DLL file under %User Temp% in which the name will depend on the "method" type and Windows Build Version.
• The contents of the created DLL file will then be copied to a created file %User Temp%\uac.cab
• It will then extract the contents of %User Temp%\uac.cab on a directory using wusa then executes a program that will load the created DLL with elevated privileges.
• The directory where the contents of %User Temp%\uac.cab will be extracted and executed program are also dependent on the method type used.
• Below are the following DLL Name, Directory and Executed pragram for each method type and Windows OS Build Version:
  
  • For Windows 7 and Windows Server 2008 only:
  • Method type: Sysprep
  • DLL Name: %User Temp%\CRYPTBASE.dll
  • Directory: %System%\Sysprep\
  • Executed Program: %System%\Sysprep\sysprep.exe
  • Method type: ActionQueue
  • DLL Name: %User Temp%\ActionQueue.dll
  • Directory: %System%\Sysprep\
  • Executed Program: %System%\Sysprep\sysprep.exe
  • Method type: winsat
  • DLL Name: %User Temp%\ntwdblib.dll
  • Directory: %System%\Sysprep\
  • Executed Program: %System%\Sysprep\winsat.exe
  • Method type: mmc
  • DLL Name: %User Temp%\ntwdblib.dll
  • Directory: %System%\
  • Executed Program: %System%\mmc.exe
  • For Windows 8.1 and Windows Server 2012 only:
  • Method type: Sysprep
  • DLL Name: %User Temp%\shcore.dll
  • Directory: %System%\Sysprep\
  • Executed Program: %System%\Sysprep\sysprep.exe
  • Method type: winsat
  • DLL Name: %User Temp%\devobj.dll
  • Directory: %System%\Sysprep\
  • Executed Program: %System%\Sysprep\winsat.exe
  • Method type: mmc
  • DLL Name: %User Temp%\elsext.dll
  • Directory: %System%\
  • Executed Program: %System%\mmc.exe
  • For both Windows OS Build Versions:
  • Method type: OOBE
  • DLL Name: %User Temp%\wdscore.dll
  • Directory: %System%\oobe\
  • Executed Program: %System%\oobe\setupsqm.exe
  • Method type: migwiz
  • DLL Name: %User Temp%\wdscore.dll
  • Directory: %System%\migwiz\
  • Executed Program: %System%\Sysprep\migwiz.exe
  • Method type: cliconfg
  • DLL Name: %User Temp%\ntwdblib.dll
  • Directory: %System%\
  • Executed Program: %System%\cliconfg.exe

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)