• Email
• Facebook
• Twitter
• Google+
• Linkedin

Backdoor.MSIL.ASYNCRAT.THABFBB

---

• マルウェアタイプ: バックドア型
• 破壊活動の有無: なし
• 暗号化:  
• 感染報告の有無: はい

---

  概要

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

マルウェアは、感染コンピュータ上の特定の情報を収集します。

マルウェアは、仮想環境内で実行されると、自身の活動を終了します。

---

  詳細

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• SvchosMutex_qwqdanchun

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Ping test
• Execute sent plugin

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• {BLOCKED}.press:8849
• {BLOCKED}.{BLOCKED}.247.108:8849

情報漏えい

マルウェアは、感染コンピュータ上の以下の情報を収集します。

• Packet = ClientInfo
• HWID = HWID generated from processor count, username, computer name, OS version, and total size of the system directory
• User = System Username
• OS = OS information
• Camera = Camera devices available
• Path = Malware installed path
• Version = {encrypted value}
• Admin = Has admin role
• Perfor_mance = {Window Title}
• Paste_bin = {encrypted value}
• Anti_virus = Installed AV products
• Install_ed = Time installed
• Po_ng = {null}
• Group = {encrypted value}

その他

マルウェアは、仮想環境内で実行されると、自身の活動を終了します。

マルウェアは、以下を実行します。

• Upon execution it decrypts strings for its configuration:
• Key → {encrypted value}
• New Key → false
• Port → 8849
• Host → {Host to connect}
• Version → 1.0.7
• Install → false
• MTX → SvchosMutex_qwqdanchun
• Paste_bin → null
• An_ti → true
• Anti_Process → false
• BS_OD → true
• Group → Default
• HWID → {encrypted value}
• Server_signa_ture → {encrypted value}
• Certifi_cate → {encrypted value}
• VerifyHash → true
• It checks whether the System is a Windows Client or a Windows Server.
• It checks whether the System is running on x86 or x64 Windows platform.
• It retrieves information about the cache memory.
• Depending on its configuration, it is capable on executing the following functions:
• Terminating the following processes:
• Taskmgr.exe
• ProcessHacker.exe
• procexp.exe
• MSASCui.exe
• MsMpEng.exe
• MpUXSrv.exe
• MpCmdRun.exe
• NisSrv.exe
• ConfigSecurityPolicy.exe
• MSConfig.exe
• Regedit.exe
• UserAccountControlSettings.exe
• taskkill.exe
• Establish persistence with the following conditions:
• If has an admin privilege, it will create a scheduled task to execute the malware on every user log on.
• If has normal user privilege, it adds itself on start up processes by modifying system registry.
• It creates a .bat file to execute itself as a process then deletes itself after execution.

---

  対応方法

ご利用はいかがでしたか？　アンケートにご協力ください