Trojan.Win32.PHORPIEX.R06CC0DJU23

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %User Profile%\tbnds.dat
• F:\{disk name} ({disk free space}GB).lnk → detected as Trojan.LNK.RUNNER.B
• %User Profile%\win{7 random alphabet characters} → copy of %User Temp%\{10 random numbers}.exe
• %Windows%\win{7 random alphabet characters} → copy of %User Temp%\{10 random numbers}.exe

マルウェアは、以下のファイルを作成し実行します。

• %User Temp%\{10 random numbers}.exe

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Windows%\sysplorsv.exe
• F:\.\VolDriver.exe

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

マルウェアは、以下のプロセスを追加します。

• %Windows%\sysplorsv.exe
• %User Temp%\{10 random numbers}.exe

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.. %User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

マルウェアは、以下のフォルダを作成します。

• F:\. → hidden

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• 3444rrre
• 333x3333x3

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
Windows Settings = %Windows%\sysplorsv.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
Windows Settings = %Windows%\win{7 random alphabet characters}

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
Windows Settings = %User Profile%\win{7 random alphabet characters}

他のシステム変更

マルウェアは、以下のファイルを削除します。

• Files found in the removable and/or network drive with the following extension:
  • .lnk
  • .vbs
  • .js
  • .scr
  • .com
  • .jse
  • .cmd
  • .pif
  • .jar
  • .dll
  • .vbe
  • .bat
  • .inf

マルウェアは、以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
FirewallOverride = 1

(註：変更前の上記レジストリ値は、「0」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
FirewallDisableNotify = 1

(註：変更前の上記レジストリ値は、「0」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
AntiSpywareOverride = 1

(註：変更前の上記レジストリ値は、「0」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
AntiVirusOverride = 1

(註：変更前の上記レジストリ値は、「0」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
AntiVirusDisableNotify = 1

(註：変更前の上記レジストリ値は、「0」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
UpdatesOverride = 1

(註：変更前の上記レジストリ値は、「0」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
UpdatesDisableNotify = 1

(註：変更前の上記レジストリ値は、「0」となります。)

バックドア活動

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• {BLOCKED}.{BLOCKED}.{BLOCKED}.125:40500
• {BLOCKED}.{BLOCKED}.{BLOCKED}.159:40500
• {BLOCKED}.{BLOCKED}.{BLOCKED}.65:40500
• {BLOCKED}.{BLOCKED}.{BLOCKED}.23:40500
• {BLOCKED}.{BLOCKED}.{BLOCKED}.56:40500
• {BLOCKED}.{BLOCKED}.{BLOCKED}.244:40500
• {BLOCKED}.{BLOCKED}.{BLOCKED}.35:40500
• {BLOCKED}.{BLOCKED}.{BLOCKED}.26:40500
• {BLOCKED}.{BLOCKED}.{BLOCKED}.78:40500
• {BLOCKED}.{BLOCKED}.{BLOCKED}.21:40500
• {BLOCKED}.{BLOCKED}.{BLOCKED}.238:40500
• {BLOCKED}.{BLOCKED}.{BLOCKED}.98:40500
• {BLOCKED}.{BLOCKED}.{BLOCKED}.23:40500
• {BLOCKED}.{BLOCKED}.{BLOCKED}.76:40500
• {BLOCKED}.{BLOCKED}.{BLOCKED}.209:40500
• {BLOCKED}.{BLOCKED}.{BLOCKED}.155:40500

ダウンロード活動

マルウェアは、以下のURLからファイルをダウンロードします。マルウェアは、ファイルが感染コンピュータ内に保存されると、ファイル名を変更します。

• http://{BLOCKED}.{BLOCKED}.{BLOCKED}.66/1
• http://{BLOCKED}.{BLOCKED}.{BLOCKED}.66/2
• http://{BLOCKED}.{BLOCKED}.{BLOCKED}.66/3
• http://{BLOCKED}.{BLOCKED}.{BLOCKED}.66/_1
• http://{BLOCKED}.{BLOCKED}.{BLOCKED}.66/_2
• http://{BLOCKED}.{BLOCKED}.{BLOCKED}.66/_3
• http://{BLOCKED}.{BLOCKED}.{BLOCKED}.66/4
• http://{BLOCKED}.{BLOCKED}.{BLOCKED}.66/5
• http://{BLOCKED}.{BLOCKED}.{BLOCKED}.66/6
• http://{BLOCKED}.{BLOCKED}.{BLOCKED}.66/7
• http://{BLOCKED}.{BLOCKED}.{BLOCKED}.66/8

マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %User Temp%\{10 random numbers}.exe

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

情報漏えい

マルウェアは、以下の情報を収集します。

• System Locale
• Disk Information

その他

マルウェアは、以下を実行します。

• It avoids deleting files with the following strings in their filename:
  • Thumbs.db
  • desktop.ini
  • $RECYCLE.BIN
  • System Volume Information
  • {disk name} ({disk free space}GB).lnk
• It deletes the origin of itself and its downloaded files from where it was downloaded.
• It terminates itself if the system locale is Ukrainian.
• It sets the attributes of its dropped copy to READONLY and HIDDEN
• It hides and destroys files in the removable and/or network drive.