Trojan.Win64.VALLEYRAT.THHBGBD

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスを追加します。

• Invoke-Command -Command {Add-MpPreference -ExclusionPath {Root drive of the malware path}

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• TEST

自動実行方法

マルウェアは、Windows起動時に自動実行されるよう＜User Startup＞フォルダ内に以下のファイルを作成します。

• %User Startup%\CompMgmtLauncher.lnk
• %User Startup%\eventvwr.lnk

(註：%User Startup%フォルダは、現在ログオンしているユーザのスタートアップフォルダです。Windows 98およびMEの場合、通常 "C:\Windows\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows NTの場合、通常 "C:\WINNT\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows 2003(32-bit)、XP、2000(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows Vista、7、8、 8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup" です。)

他のシステム変更

マルウェアは、以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\
kingsoft\antivirus\Windhunter
WindhunterLevel = 4

HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\
kingsoft\antivirus\Windhunter
WindhunterSwitch = 0

HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\
kingsoft\antivirus\KSetting
kxesc = 0

HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\
kingsoft\antivirus\KAVReport
AutoStart = 0

HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\
Tencent\QQPCMgr
autostart = 0

マルウェアは、以下のレジストリキーを削除します。

HKEY_CURRENT_USER\Console\IpDate

HKEY_CURRENT_USER\Software\Classes\
mscfile

HKEY_CURRENT_USER\Software\Classes\
ms-settings

HKEY_CURRENT_USER\Software\Classes\
.pwn

プロセスの終了

マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• 360Sd.exe
• 360leakfixer.exe
• safesvr.exe
• MultiTip.exe
• 360Tray.exe
• 360tray.exe
• 360Safe.exe
• 360safe.exe
• ZhuDongFangYu.exe
• kscan.exe
• kwsprotect64.exe
• kxescore.exe
• kxetray.exe
• HipsMain.exe
• HipsTray.exe
• QMDL.exe
• QMPersonalCenter.exe
• QQPCPatch.exe
• QQPCRealTimeSpeedup.exe
• QQPCRTP.exe
• QQPCTray.exe

その他

マルウェアは、以下のWebサイトにアクセスしてインターネット接続を確認します。

• http://www.{BLOCKED}u.com

マルウェアは、以下を実行します。

• After the process termination, it checks again for the following processes to see if they are still running in the system.
  • kxetray.exe
  • 360sd.exe
  • 360Tray.exe
  • 360tray.exe
  • 360Safe.exe
  • 360safe.exe
  • QQPCTray.exe
  • MsMpEng.exe
  • HipsTray.exe
  • If any of these processes are still running, it will do the following:
  • Injects a shellcode into a running lsass process.
  • It terminates the following processes if found running in the affected system:
  • 360Sd.exe
  • 360tray.exe
  • 360Safe.exe
  • 360safe.exe
  • HipsMain.exe
  • HipsTray.exe
  • QMDL.exe
  • QQPCTray.exe
  • QQPCRTP.exe
• If the following processes within its list are still found running in the system, the malware process displays an “ERROR” message box and terminates.
  
• It checks for the presence of the following files:
  • %User Profile%\wwlib.dll
  • %User Profile%\WinWord.exe
• It checks the following registry entries related to popular communication applications.
  • HKEY_CURRENT_USER\Software\Tencent\Wechat
  • HKEY_CURRENT_USER\Software\Dingtalk
• It retrieves the URL of the C2 server stored in this registry entry by the main loader:
  • HKEY_CURRENT_USER\Console
  IpDateInfo
  • It will connect to the following URL after successfully retrieving the information.

以下のスケジュールされたタスクを追加します：

• Name: CompMgmtLauncher
• Trigger: At log on of any user
• Actions: Start a program - %System%\eventvwr.msc

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

<補足>
自動実行方法

Officeアプリケーションが起動されるたびに不正ファイルが自動実行されるよう、以下のレジストリエントリを追加します。

HKEY_CURRENT_USER\Console
SelfPath = {Malware File Path}

その他

マルウェアは、以下を実行します。

• プロセスが終了した後、以下のプロセスが感染コンピュータ内でまだ実行されているかどうかを再度確認します。
  • kxetray.exe
  • 360sd.exe
  • 360Tray.exe
  • 360tray.exe
  • 360Safe.exe
  • 360safe.exe
  • QQPCTray.exe
  • MsMpEng.exe
  • HipsTray.exe
    • 上記のプロセスのいずれかがまだ実行中の場合は、以下を実行します。
      • 実行中のプロセス「lsass 」内にシェルコードを注入します。
      • 影響を受けるコンピュータ内で実行中の以下のプロセスが見つかった場合、対象のプロセスを終了します。
        • 360Sd.exe
        • 360tray.exe
        • 360Safe.exe
        • 360safe.exe
        • HipsMain.exe
        • HipsTray.exe
        • QMDL.exe
        • QQPCTray.exe
        • QQPCRTP.exe
• リスト内のプロセスが感染コンピュータ内でまだ実行中であることが確認された場合、マルウェアプロセスは「エラー」メッセージボックスを表示して終了します。
  
• 以下のファイルの存在を確認します。
  • %User Profile%\wwlib.dll
  • %User Profile%\WinWord.exe
• 一般的な通信アプリケーションに関連する以下のレジストリエントリを確認します。
  • HKEY_CURRENT_USER\Software\Tencent\Wechat
  • HKEY_CURRENT_USER\Software\Dingtalk
• 主要なローダが以下のレジストリエントリ内に保存したC&CサーバのURLを取得します。
  • HKEY_CURRENT_USER\Console
    IpDateInfo
    • 情報を取得した場合、以下の URL に接続します。

以下のスケジュールされたタスクを追加します：

• 名前：CompMgmtLauncher
• トリガ：任意のユーザのログオン時
• アクション：プログラムの起動 - %System%\eventvwr.msc