Trojan.Win32.COPPERPHISH.FV

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、実行後、自身を削除します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %Application Data%\Microsoft\index.html → deleted afterwards
• %Application Data%\Microsoft\logo.png → deleted afterwards
• %Application Data%\Microsoft\qrcode.png → deleted afterwards
• %Windows%\Tasks\{16 Characters Generated}.job → deleted afterwards

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。. %Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

マルウェアは、以下のプロセスを追加します。

• %System%\rundll32.exe
• cmd /c ping 127.0.0.1 -n 3 & del "{Malware Path}\{Malware Filename}.exe"

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

マルウェアは、実行後、自身を削除します。

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• Global\signature_netcheck

他のシステム変更

マルウェアは、インストールの過程で、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\{16 Characters Generated}

マルウェアは、以下のレジストリ値を変更します。

HKEY_CURRENT_USER\Software\{16 Characters Generated}
0 = {Hex Values}

その他

マルウェアは、以下を実行します。

• It deletes the default route from the IP routing table, disabling the communication to the Internet.
• It starts the RpcSs Service (Remote Procedure Call Service) if not running.
• It starts the Task Scheduler Service if not running.
• It checks for the existence of the following window:
  • Window class: ThunderRT6FormDC
    Window Name: Operators Network Error Check
  • If not found, it creates the following process in SUSPENDED state and injects code to it: %System%\rundll32.exe
• It shows the following "Operators Network Error Check" window, luring the user to scan the QR:
  {copperphish.png}
• The QR code directs to the following phishing website:
  • https://{BLOCKED}toonami.com → refer to Trojan.HTML.PHISH.FV
• It creates a named pipe and connects to it.
  • \.\pipe\microsoft_shutdown_network
• It reads data from the created pipe and waits for the message signalling that a correct confirmation code is entered.
• Once a correct confirmation code is supplied
  • Disconnects from the named pipe.
  • Restores the default route of the IP routing table.
  • Deletes the created scheduled task.
  • Closes the "Operators Network Error Check" window.
  • Deletes the following files:
    • %Application Data%\Microsoft\index.html
    • %Application Data%\Microsoft\logo.png
    • %Application Data%\Microsoft\qrcode.png
  • Sends a ping to {BLOCKED}.{BLOCKED}.{BLOCKED}.1
  • Deletes itself.

以下のスケジュールされたタスクを追加します：

• Task Name: {16 Characters Generated}
  Trigger: At logon
  Action: Start a program - {Malware Path}\{Malware Filename}