• Email
• Facebook
• Twitter
• Google+
• Linkedin

Backdoor.Win32.FLAWEDGRACE.AC

---

• マルウェアタイプ: バックドア型
• 破壊活動の有無: なし
• 暗号化: はい
• 感染報告の有無: はい

---

  概要

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

---

  詳細

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %All Users Profile%\{System Volume Hash}.dat -> run with admin privileges
• %All Users Profile%\{System Volume Hash}.bin -> run with admin privileges
• %ProgramData%\{System Volume Hash}.bin -> run without admin privileges
• %ProgramData%\{System Volume Hash}.dat -> run without admin privileges

(註：%All Users Profile%フォルダは、ユーザの共通プロファイルフォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\All Users” です。また、Windows Vista、7、8の場合、通常 "C:\ProgramData” です。. %ProgramData%フォルダは、マルチユーザーシステムにおいて任意のユーザがプログラムに変更を加えることができるプログラムファイルフォルダのバージョンです。これには、すべてのユーザのアプリケーションデータが含まれます。Windows Vista、7、8の場合、通常 "C:\ProgramData" です。)

マルウェアは、以下のプロセスを追加します。

• cmd /C net localgroup

他のシステム変更

マルウェアは、インストールの過程で、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Policies\
System
SoftwareSASGeneration = "1"

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Downloads File (target_download)
• Load and Unload Modules (target_module_load, target_module_load_external, target_module_unload)
• Get Passwords (target_passwords)
• RDP Session (target_rdp)
• Reboot system (target_reboot)
• Delete Files (target_remove)
• Run Scripts (target_script)
• List of Servers (target_servers)
• Update Version (target_update)
• Upload File (target_upload)
• Gather system information (desktop_stat)
• Force shutdown (destroy_os)

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• {BLOCKED}.{BLOCKED}.16.228:443

情報漏えい

マルウェアは、以下の情報を収集します。

• Computer Name
• User's Credentials (password)
• OS Version
• Architecture
• Domain Name
• Username
• Admin priveleges (User Account Control)
• Boot
• Locale
• Antivirus Product Name obtained via WMI query
• Malware installed time
• Malware version
• Local IP

その他

マルウェアは、以下を実行します。

• マルウェアは、以下のパラメータを受け取ります。
  • -i (プロセスID)
  • -sn (サービス名)
  • -p (パイプ)
  • -m (モジュール)
• マルウェアは、以下のプロセスを利用し、IPアドレスを検索します。
  • cmd /C ipconfig | findstr /R /%System Root%"IPv4 Address"

(注: %System Root%フォルダは、標準設定では、 いずれのオペレーティングシステム(OS)でも通常、"C:"です)

<補足>
インストール

マルウェアは、以下のファイルを作成します。

• %All Users Profile%\{システムボリュームのハッシュ}.dat → 管理者権限がある場合に実行します
• %All Users Profile%\{システムボリュームのハッシュ}.bin → 管理者権限がある場合に実行します
• %ProgramData%\{システムボリュームのハッシュ}.bin → 管理者権限がない場合に実行します
• %ProgramData%\{システムボリュームのハッシュ}.dat → 管理者権限がない場合に実行します

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• ファイルのダウンロード (target_download)
• モジュールのロードおよびアンロード (target_module_load, target_module_load_external, target_module_unload)
• パスワードの取得 (target_passwords)
• RDP セッション (target_rdp)
• コンピュータの再起動 (target_reboot)
• ファイルの削除 (target_remove)
• スクリプトの実行 (target_script)
• サーバの一覧表示 (target_servers)
• バージョンの更新 (target_update)
• ファイルのアップロード (target_upload)
• コンピュータ情報の収集 (desktop_stat)
• 強制終了 (destroy_os)

情報漏えい

マルウェアは、以下の情報を収集します。

• コンピュータ名
• ユーザ認証情報 (パスワード)
• OSのバージョン
• アーキテクチャ
• ドメイン名
• ユーザ名
• 管理者権限 (ユーザアカウント制御)
• ブート
• ロケール
• WMIクエリで取得したセキュリティ対策製品名
• マルウェアのインストール時間
• マルウェアのバージョン
• ローカルIP

---

  対応方法

ご利用はいかがでしたか？　アンケートにご協力ください