• Email
• Facebook
• Twitter
• Google+
• Linkedin

Backdoor.Win32.SPACECOLON.B

---

• マルウェアタイプ: バックドア型
• 破壊活動の有無: なし
• 暗号化:  
• 感染報告の有無: はい

---

  概要

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、ワーム活動の機能を備えていません。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

---

  詳細

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• {Malware Path}\cdn.pfx → encrypted certificate
• {Malware Path}\{Malware File Name}.ini → collected information

感染活動

マルウェアは、ワーム活動の機能を備えていません。

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• CONNECT → used to connect to a C&C server
• TUNNEL → used to establish tunnel connections between compromise machines
• TUNNELCLOSE → used to disconnect the connection set up by the TUNNEL command
• DOWNEXEC → used to download a file from a url that needs to be specified
• USERADD → used to add a new administrator account with given username and password

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• https://www.{BLOCKED}ate.net/update.php
• https://ss.{BLOCKED}8.org/update.php
• https://update.{BLOCKED}u.net
• https://update.{BLOCKED}2.org/update.php
• https://{BLOCKED}cdnup.com/update.php
• http://{BLOCKED}st/login/update.php

ルートキット機能

マルウェアは、ルートキット機能を備えていません。

その他

マルウェアは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\StorageDataServ

マルウェアは、以下を実行します。

• It must be executed with a specific execution parameter in order to continue to its behavior.
• It creates the following service:
  • Service name = StorageDataServ
  • ImagePath = {Malware Path}\{Malware File Name}.exe /startedbyscm:00D244E7-B5119CE0-StorageDataServ
  • Description = Facilitates the running of interactive applications with additional administrative privileges. If this service is stopped, users will be unable to launch applications with the additional administrative privileges they may require to perform desired user tasks.
  • DisplayName = Data Share Service
• It gathers the following information:
  • Computer Name
  • User Domain
  • OS information
  • Local IP Address
• It creates the following scheduled task:
  • Name: Monitor Service Health
  • Trigger: Daily (After triggered, repeat every 1 hour indefinitely)
  • Action: cmd.exe /c net start "StorageDataServ"

マルウェアは、以下のパラメータを受け取ります。

• /install - create a service named "StorageDataServ"
• /reinstall - recreate a service named "StorageDataServ"
• /uninstall - stops and deletes a service named "StorageDataServ" if it exists.

マルウェアは、脆弱性を利用した感染活動を行いません。

<補足>
インストール

マルウェアは、以下のファイルを作成します。

• {マルウェアのファイルパス}\cdn.pfx → 暗号化された証明書
• {マルウェアのファイルパス}\{マルウェアのファイル名}.ini → 収集された情報

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• CONNECT → C&Cサーバに接続するために使用される
• TUNNEL → 侵害されたコンピュータ間のトンネル接続を確立するために使用される
• TUNNELCLOSE → TUNNELコマンドにより設定された接続を切断するために使用される
• DOWNEXEC → 指定されたURLからファイルをダウンロードするために使用される
• USERADD → 指定されたユーザ名とパスワードを使って新たな管理者アカウントを追加するために使用される

その他

マルウェアは、以下を実行します。

• マルウェアが自身の不正活動を継続するためには、特定の実行パラメータを使って実行される必要があります。
• 以下のサービスを作成します。
  • サービス名 = StorageDataServ
  • 画像のパス = {マルウェアのファイルパス}\{マルウェアのファイル名}.exe /startedbyscm:00D244E7-B5119CE0-StorageDataServ
  • 説明 = 追加された管理者権限を用いて、対話型アプリケーションの実行を容易にします。このサービスが停止されると、ユーザは必要なユーザタスクを実行するために要する追加された管理者権限でアプリケーションを起動できなくなります。
  • 表示名 = Data Share Service
• 以下の情報を収集します。
  • コンピュータ名
  • ユーザドメイン
  • オペレーティングシステム（OS）情報
  • ローカルIPアドレス
• 以下のスケジュールされたタスクを作成します。
  • タスク名： Monitor Service Health
  • トリガ： 毎日（トリガ後、1 時間毎に無期限に繰り返す）
  • アクション： cmd.exe /c net start "StorageDataServ"

マルウェアは、以下のパラメータを受け取ります。

• /install - 「StorageDataServ」という名前のサービスを作成する
• /reinstall - 「StorageDataServ」という名前のサービスを再作成する
• /uninstall - 「StorageDataServ」という名前のサービスが存在する場合は、停止して削除する

---

  対応方法

ご利用はいかがでしたか？　アンケートにご協力ください