• Email
• Facebook
• Twitter
• Google+
• Linkedin

Backdoor.Win64.MUDDYROT.THGAFBD

---

• マルウェアタイプ: バックドア型
• 破壊活動の有無: なし
• 暗号化: なし
• 感染報告の有無: はい

---

  概要

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。 ただし、情報公開日現在、このWebサイトにはアクセスできません。

マルウェアは、感染コンピュータ上の特定の情報を収集します。

---

  詳細

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、異なるファイル名を用いて以下のフォルダ内に自身のコピーを作成します。

• c:\programdata\packagemanager\packagemanager.exe

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• 0x1 → Upload file (filename: "exit")
• 0x2 → Download file (filename: "exit")
• 0x3 → Reverse shell
• 0x4 → Update socket optval
• 0x5 → Kill process
• 0x8 → Delete Task
• 0x9 → Check if task exists
• 0xA → Create scheduled task
• 0x60 → Update sleep interval
• 0x61 → Change socket optval
• 0x62 → PingBack C2 with same message

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• {BLOCKED}.{BLOCKED}.{BLOCKED}.14:443 → after connecting, sleeps for 2 minutes before reconnecting. Repeats indefinitely.

ただし、情報公開日現在、このWebサイトにはアクセスできません。

情報漏えい

マルウェアは、感染コンピュータ上の以下の情報を収集します。

• Computer Name
• Username

その他

マルウェアは、以下を実行します。

• It uses the following fingerprint when connecting to the IP address:
  • {Computer Name}/{Username}

以下のスケジュールされたタスクを追加します：

• Location: {Root Directory}
  Name: PackageManager
  Trigger: Daily at {Scheduled Task Create Time} → After triggered, repeat every 00:43:00 for a duration of 1 day.
  Action: Start a program → c:\programdata\packagemanager\packagemanager.exe

<補足>
バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• 0x1 → ファイルのアップロード（ファイル名："exit"）
• 0x2 → ファイルのダウンロード（ファイル名："exit"）
• 0x3 → リバースシェル
• 0x4 → ソケットのoptvalの更新
• 0x5 → プロセスの強制終了
• 0x8 → タスクの削除
• 0x9 → タスクの存在の確認
• 0xA → スケジュールされたタスクの作成
• 0x60 → スリープ間隔の更新
• 0x61 → ソケットのoptvalの変更
• 0x62 → 同じメッセージを用いたC&CサーバへのPingBack

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• {BLOCKED}.{BLOCKED}.{BLOCKED}.14:443 → 接続後、再接続する前に2分間スリープします。（無期限に繰り返す）

ただし、情報公開日現在、このWebサイトにはアクセスできません。

情報漏えい

マルウェアは、感染コンピュータ上の以下の情報を収集します。

• コンピュータ名
• ユーザ名

その他

マルウェアは、以下を実行します。

• IPアドレスへの接続時に、以下のフィンガープリントを使用します。
• {コンピュータ名}/{ユーザ名}

以下のスケジュールされたタスクを追加します：

• 場所: {ルートディレクトリ}
  名前: PackageManager
  トリガ: {スケジュールされたタスクの作成時間}に毎日 → トリガ後、1日間隔で00:43:00毎に繰り返す
  アクション: プログラムの起動 → c:\programdata\packagemanager\packagemanager.exe

---

  対応方法

ご利用はいかがでしたか？　アンケートにご協力ください