Trojan.Win32.DLAUNCHER.A

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %All Users Profile%\SymantecSEndponit\Data\EdrEpmpCStorages.dat → Detected as Trojan.Win32.DBUNDLE.A
• %All Users Profile%\SymantecSEndponit\Data\PchEpmpCStorages.dat → Detected as Trojan.Win32.DBUNDLE.A
• %All Users Profile%\SymantecSEndponit\Data\csdkset.dat → Detected as Trojan.Win32.DBUNDLE.A
• %All Users Profile%\SymantecSEndponit\Data\prodcltdef.dat → Detected as Trojan.Win32.DBUNDLE.A
• %All Users Profile%\SymantecSEndponit\Bin\Symantec.exe
• %All Users Profile%\SymantecSEndponit\Bin\LDVPOCX.OCX
• %All Users Profile%\SymantecSEndponit\Bin\3.8.2259.42.manifest
• %All Users Profile%\SymantecSEndponit\Bin\vivaldi_elf.dll
• %All Users Profile%\SymantecSEndponit\Bin\vivaldi.exe
• %All Users Profile%\Vivaldi\Application\3.8.2259.42.manifest
• %All Users Profile%\Vivaldi\Application\vivaldi_elf.dll
• %AppDataLocal%\Cyber\CUZ.exe
• %All Users Profile%\Vivaldi\Application\vivaldi.exe
• %AppDataLocal%\Cyber\ZIPDLL.dll
• %AppDataLocal%\MicrosoftExplorer\msexpert.exe
• %Application Data%\Microsoft\Crypto\RSA\{SID}\{Random Characters}_{Machine GUID}
• %AppDataLocal%\MicrosoftExplorer\ZIPDLL.DLL → deleted afterward
• %Public%\winmine.bin → deleted afterward

(註：%All Users Profile%フォルダは、ユーザの共通プロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\All Users” です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData” です。. %AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。. %Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。. %Public%フォルダは、すべてのユーザ共通のファイルまたはフォルダのリポジトリとして機能するフォルダです。Windows Vista、7、8の場合、通常 "C:\Users\Public" です。)

マルウェアは、以下のプロセスを追加します。

• %System Root%\kaspersky\Usb Drive\3.0\Symantec.cmd
• %All Users Profile%\SymantecSEndponit\Bin\Symantec.exe
• cmd /c "%All Users Profile%\Vivaldi\Application\vivaldi.exe" {0-100}
• "%AppDataLocal%/MicrosoftExplorer/msexpert.exe" {0-100} {Key for decrpyting shellcode}
• "%AppDataLocal%\Cyber\CUZ.exe" "%AppDataLocal%/MicrosoftExplorer/msexpert.exe"

(註：%System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.. %All Users Profile%フォルダは、ユーザの共通プロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\All Users” です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData” です。. %AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)

マルウェアは、以下のフォルダを作成します。

• %All Users Profile%\SymantecSEndponit\Bin
• %All Users Profile%\SymantecSEndponit\Data

(註：%All Users Profile%フォルダは、ユーザの共通プロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\All Users” です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData” です。)

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• FHSHIFEUI23436iuEIUIfdEuihif

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
SNMELSEILYWGUSJGS = "%All Users Profile%\SymantecSEndponit\Bin\Symantec.exe"

他のシステム変更

マルウェアは、以下のフォルダを削除します。

• %All Users Profile%\Symantecs\SymantecXgp

(註：%All Users Profile%フォルダは、ユーザの共通プロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\All Users” です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData” です。)

マルウェアは、以下のレジストリ値を変更し、隠しファイル属性のファイルを非表示にします。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
Hidden = 2

(註：変更前の上記レジストリ値は、「1」となります。)

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
HideFileExt = 1

(註：変更前の上記レジストリ値は、「0」となります。)

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
ShowSuperHidden = 0

(註：変更前の上記レジストリ値は、「1」となります。)

バックドア活動

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• {BLOCKED}.{BLOCKED}.{BLOCKED}.116

プロセスの終了

マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• Symantec.exe

情報漏えい

マルウェアは、以下の情報を収集します。

• Username
• Computer name
• System Architecture
• Operating system
• Available storage space of hard disk or flash drive

情報収集

マルウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

• {BLOCKED}.{BLOCKED}.{BLOCKED}.116/index.php

その他

マルウェアは、以下を実行します。

• It requires the following files to proceed to its intended routine:
  • %System Root%\kaspersky\Usb Drive\3.0\Symanted.cmd
  • %System Root%\kaspersky\Usb Drive\3.0\Data\EdrEpmpCStorages.dat
  • %System Root%\kaspersky\Usb Drive\3.0\Data\PchEpmpCStorages.dat
  • %System Root%\kaspersky\Usb Drive\3.0\Data\csdkset.dat
  • %System Root%\kaspersky\Usb Drive\3.0\Data\prodcltdef.dat
  • %System Root%\kaspersky\Usb Drive\3.0\LDVPOCX.OCX
• If it detects that USB drives are connected to the system, it performs the following actions:
  • Existing files from the USB drive are moved to the following folder
  • {Drive root}\kaspersky\Usb Drive
• It drops files with hidden attributes:
  • {Drive root}\kaspersky\Usb Drive\3.0\EdrEpmpCStorages.dat
  • {Drive root}\kaspersky\Usb Drive\3.0\PchEpmpCStorages.dat
  • {Drive root}\kaspersky\Usb Drive\3.0\csdkset.dat
  • {Drive root}\kaspersky\Usb Drive\3.0\prodcltdef.dat
  • {Drive root}\{USB drive name}.exe → Copy if itself
• It creates the following folders:
  • {Drive root}\kaspersky\Usb Drive\3.0

(註：%System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.)