• Email
• Facebook
• Twitter
• Google+
• Linkedin

Backdoor.Win32.REVCODE.THDBABO

---

• マルウェアタイプ: バックドア型
• 破壊活動の有無: なし
• 暗号化: はい
• 感染報告の有無: はい

---

  概要

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

---

  詳細

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Application Data%\Downloads\Zoom.exe

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

マルウェアは、以下のファイルを作成します。

• %User Temp%\{random characters}.bat
• %Application Data%\Downloads\Zoom.exe:ZoneIdentifier

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

マルウェアは、以下のファイルを作成し実行します。

• %User Temp%\ZoomInstaller.exe
  (Legitimate Zoom installer)

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

マルウェアは、以下のプロセスを追加します。

• %System%\notepad.exe "%Application Data%\Downloads\Zoom.exe"
• %User Temp%\{random characters}.bat

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。. %User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

マルウェアは、以下のプロセスにコードを組み込みます。

• {malware fullpath}

自動実行方法

マルウェアは、Windows起動時に自動実行されるよう＜User Startup＞フォルダ内に以下のファイルを作成します。

• Zoom.vbs

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Add registry key
• Add registry value
• Change saved data on clipboard
• Clear clipboard
• Close all connections
• Copy file
• Delete file
• Delete key-log
• Delete registry key
• Delete registry value
• Download file
• Edit registry value
• Execute downloaded file
• Execute file
• Get all connections
• Get application list
• Get audio drivers list
• Get devices state list
• Get hardware information
• Get installed devices
• Get key-log information
• Get process list
• Get registry key list
• Get registry value list
• Get saved data on clipboard
• Get service list
• Get thumbnail
• Get webcam drivers
• Get webcam snapshot
• Open cmd
• Pause service
• PDG proxy start
• PDG proxy stop
• PDG screen stream start
• PDG screen stream stop
• Remote code execution
• Rename registry value
• Resume process
• Resume service
• Screen stream start
• Screen stream stop
• Set process priority
• SSL screen start
• SSL screen stop
• Start audio stream
• Start keylog stream
• Start service
• Start Wireless Access Point
• Stop audio stream
• Stop keylog stream
• Stop service
• Stop Wireless Access Point
• Suspend process
• Terminate process
• Uninstall application
• Uninstall service
• Upload file

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• dabm{BLOCKED}.wm{BLOCKED}.to

情報収集

マルウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

• https://213.{BLOCKED}.{BLOCKED}.96/recv7.php

その他

マルウェアは、以下を実行します。

• It terminates itself if the any of following processes is found:
  • aswidagent.exe
  • avastsvc.exe
  • avastui.exe
  • avgsvc.exe
  • avgui.exe
  • avp.exe
  • bdagent.exe
  • bdwtxag.exe
  • dwengine.exe
  • mpcmdrun.exe
  • msmpeng.exe
  • nissrv.exe
  • ollydbg.exe
  • procexp.exe
  • procexp64.exe
  • procmon.exe
  • procmon64.exe
  • windbg.exe
• It terminates itself when executed in the following Virtual Environments:
  • Kernel-based Virtual Machine
  • Microsoft Hypervisor
  • Parallels Hypervisor
  • VirtualBox
  • VMware
  • Xen Virtual Machine Manager
• It terminates itself if its file name is found similar to any of the following:
  • malware
  • sample
  • sandbox
• It gathers the following information:
  • Battery Information
    • Estimated Charge Remaining
    • Estimated Runtime
  • Computer Information
    • Domain
    • Last Bootup
    • Name
    • Uptime
    • Username
  • Desktop Monitor Information
    • Screen Height
    • Screen Width
  • Memory Information
    • RAM Capacity
    • RAM Manufacturer
    • RAM Speed
  • Network Adapter Configuration
    • MAC Address
    • LAN IP
  • OS Information
    • Architecure
    • Build Number
    • Language
    • Version
  • Processor Information
    • Max Clock Speed
    • Processor Name
  • Video Controller Information
    • Driver Version
    • Name

---

  対応方法

ご利用はいかがでしたか？　アンケートにご協力ください