Trojan.Win64.BAZARLOADER.FAJG

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

自動実行方法

マルウェアは、作成されたコンポーネントがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{Random Characters} = "%System%\rundll32.exe\" "{Malware Fullpath}", {Export} {First Argument} {Second Argument} {Third Argument}

その他

マルウェアは、以下を実行します。

• It checks if it is executed with the following arguments:
• If it is executed without argument:
  
  • It adds one of the following process randomly:
    
    • cmd /c timeout /t 6 & "%System%\rundll32.exe" "{Malware Fullpath}", {Export} {First Argument} {Second Argument} & exit
    • cmd /c choice /n /c y /d y /t 6 & "%System%\rundll32.exe" "{Malware Fullpath}", {Export} {First Argument} {Second Argument} & exit
    • cmd /c timeout 10 /nobreak & "%System%\rundll32.exe" "{Malware Fullpath}", {Export} {First Argument} {Second Argument} & exit
    • cmd /c ping 192.0.2.210 -n 8 -i 103 -4 -w 1000 > NUL & "%System%\rundll32.exe" "{Malware Fullpath}", {Export} {First Argument} {Second Argument} & exit
• If it is executed with two specified arguments:
  
  • It adds the following process:
    
    • cmd.exe /c reg.exe add HKCU\Software\Microsoft\Windows\CurrentVersion\Run /f /v 0q0ci6sB1gW5cD8sS6T /t REG_SZ /d "\"%System%\rundll32.exe\" \"{Malware Fullpath}\", {Export} {First Argument} {Second Argument} {Third Argument}"
  • It adds one of the following process randomly:
    • cmd /c timeout /t 6 & "%System%\rundll32.exe" "{Malware Fullpath}", {Export} {First Argument} {Second Argument} {Third Argument} & exit
    • cmd /c choice /n /c y /d y /t 6 & "%System%\rundll32.exe" "{Malware Fullpath}", {Export} {First Argument} {Second Argument} {Third Argument} & exit
    • cmd /c timeout 10 /nobreak & "%System%\rundll32.exe" "{Malware Fullpath}", {Export} {First Argument} {Second Argument} {Third Argument} & exit
    • cmd /c ping 192.0.2.210 -n 8 -i 103 -4 -w 1000 > NUL & "%System%\rundll32.exe" "{Malware Fullpath}", {Export} {First Argument} {Second Argument} {Third Argument} & exit
• If it is executed with three specified arguments:
  
  • It adds the following process:
    • cmd.exe /c reg.exe query "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\App Paths"
    • cmd.exe /c reg.exe query "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\App Paths\chrome.exe" /v "Path"
    • "%Program Files%\Google\Chrome\Application\chrome.exe" {First Argument} {Second Argument} {Third Argument} {Fourth Argument} "{Malware Fullpath}" "rundll32.exe" {Export}
• It injects malicious code to the added process, chrome.exe. --> will only work if executed on Windows 10

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.. %Program Files%フォルダは、デフォルトのプログラムファイルフォルダです。C:\Program Files in Windows 2000(32-bit)、Server 2003(32-bit)、XP、Vista(64-bit)、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files"です。また、Windows XP(64-bit)、Vista(64-bit)、7(64-bit)、8(64-bit)、8.1(64-bit)、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files（x86）" です。)