VBS_CARBANAK.DXP

マルウェアは、他のマルウェアに作成され、コンピュータに侵入します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

侵入方法

マルウェアは、以下のマルウェアに作成され、コンピュータに侵入します。

• TROJ_CARBANAK.DXP

インストール

マルウェアは、以下のファイルを作成します。

• %User Temp%\WindowsUpdate_X24532\MyIniFile.ini
• %User Temp%\WindowsUpdate_X24532\screenshot-cmd.ps1
• %User Temp%\WindowsUpdate_X24532\box.txt
• %User Temp%\WindowsUpdate_X24532\beginer.vbs
• %User Temp%\WindowsUpdate_X24532\runnerr.vbs
• %User Temp%\WindowsUpdate_X24532\loader.vbs
• %User Temp%\WindowsUpdate_X24532\autostarter2.vbs
• %User Temp%\WindowsUpdate_X24532\checkcomp.vbs
• %User Temp%\WindowsUpdate_X86532\ggldr.vbs
• %User Temp%\WindowsUpdate_X86532\start.vbs
• %User Temp%\WindowsUpdate_X24532\Foxconn.lnk
• %User Temp%\WindowsUpdate_X86532\Foxconn.lnk
• %User Temp%\WindowsUpdate_X32794\begCobal.vbs
• %User Temp%\WindowsUpdate_X32794\updateSys.ps1
• {malware path}\out.txt

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

マルウェアは、以下のフォルダを作成します。

• %User Temp%\WindowsUpdate_X24532
• %User Temp%\WindowsUpdate_X86532
• %User Temp%\WindowsUpdate_X32794

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
UpdateWindowsTmp0_ = explorer.exe %User Temp%\WindowsUpdate_X24532\Foxconn.lnk

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
UpdateWindowsTmp1_ = explorer.exe %User Temp%\WindowsUpdate_X86532\Foxconn.lnk

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• List running processes
• Acquire the following computer information:
  • Operating System Name
  • Operating System version
  • Service Pack Major and Minor Version
  • Operating System Manufacturer
  • Windows Directory
  • Operating System Locale
  • Available Physical Memory
  • Total Virtual Memory
  • Available Virtual Memory
  • Size stored in paging files
  • Computer System Name
  • Computer System Manufacturer
  • Computer System Model
  • Current Time Zone
  • Total Physical Memory
  • Processor Information
  • BIOS Version
  • User Domain
  • User Name
  • Microsoft Office applications and version
• Capture and send screenshots
• Run VBS scripts
• Run executable files
• Run powershell scripts
• Run cmd commands
• Uninstall itself
• Update itself

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• http://{BLOCKED}r.com/css/informs.jsp
• https://docs.{BLOCKED}e.com/forms/d/e/1FAIpQLSfzZjWELySdnVvjcM63JOEk4nr3ZdPPXlBcTmWAi-loa0of9g/formResponse
• https://{BLOCKED}t.{BLOCKED}e.com/macros/s/AKfycbxGIvnr9iMU-a16PIrgp2pxWk-mxF-CAvqFR0DCDUYX8PIA03Aw/exec

マルウェアは、コマンド＆コントロール（C&C）サーバに以下の情報を通知します。

• Operating System Name
• Operating System version
• Service Pack Major and Minor Version
• Operating System Manufacturer
• Windows Directory
• Operating System Locale
• Available Physical Memory
• Total Virtual Memory
• Available Virtual Memory
• Size stored in paging files
• Computer System Name
• Computer System Manufacturer
• Computer System Model
• Current Time Zone
• Total Physical Memory
• Processor Information
• BIOS Version
• User Domain
• User Name
• Running processes
• Microsoft Office applications and version