• Email
• Facebook
• Twitter
• Google+
• Linkedin

BKDR_FOLYRIS.A

---

• マルウェアタイプ: バックドア型
• 破壊活動の有無: なし
• 暗号化: なし
• 感染報告の有無: はい

---

  概要

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、特定のレジストリ値を変更し、Windows Update の自動更新機能を無効にします。これにより、緊急のWindows Update が必要な際でも感染コンピュータは通知されなくなります。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。 ただし、情報公開日現在、このWebサイトにはアクセスできません。

マルウェアは、Internet Explorer（IE）のゾーン設定を変更します。

マルウェア マルウェアは、自身（コンピュータに侵入して最初に自身のコピーを作成した マルウェア ）を削除します。

---

  詳細

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、異なるファイル名を用いて以下のフォルダ内に自身のコピーを作成します。

• %Application Data%\Microsoft\update.exe
• %Windows%\-1474012438\taskhost

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.. %Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

マルウェアは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

• %User Profile%\dwm

(註：%User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞" です。.)

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• BACKUP_-1474012438
• MAIN_-1474012438
• UPDATE_-1474012438
• UNINSTALL_-1474012438

マルウェアは、自身（コンピュータに侵入して最初に自身のコピーを作成したマルウェア）を終了し、侵入したコンピュータ内で作成した自身のコピーの方を実行します。

マルウェアは、感染コンピュータ上のメモリに以下のプロセスを確認すると、自身を終了します。

• SbieDll.dll
• snxhk.dll
• dbghelp.dll

自動実行方法

マルウェアは、作成されたコンポーネントがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Facebook Update = "%Application Data%\Microsoft\update.exe"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
Explorer\Run
Facebook Update = "%Application Data%\Microsoft\update.exe"

HKEY_CURRENT_USER\Software\Microsoft\
Windows NT\CurrentVersion\Winlogon
shell = "%Application Data%\Microsoft\update.exe,explorer.exe"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\RunOnce
*-1474012438 = "%Windows%\-1474012438\taskhost"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\RunOnce
*-1474012438 = "%Windows%\-1474012438\taskhost"

マルウェアは、＜User Startup＞フォルダ内に、自身のコピーに誘導する以下のショートカットを作成します。これにより、Windows起動時に自身のコピーが自動実行されます。

• %User Startup%\Facebook.lnk

(註：%User Startup%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞\Start Menu\Programs\Startup" 、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、" C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup" です。.)

他のシステム変更

マルウェアは、以下のファイルを削除します。

• {Malware path}\{Malware Name}:Zone.Identifier

マルウェアは、以下のレジストリ値を変更します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
Explorer
NoFolderOptions = 1

(註：変更前の上記レジストリ値は、「0」となります。)

マルウェアは、以下のレジストリ値を変更し、Windows Update の自動更新機能を無効にします。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
Explorer
NoWindowsUpdate = 1

(註：変更前の上記レジストリ値は、「0」となります。)

マルウェアは、以下のレジストリ値を変更し、隠しファイル属性のファイルを非表示にします。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
Hidden = 2

(註：変更前の上記レジストリ値は、「1」となります。)

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced\Folder\SuperHidden
CheckedValue = 1

(註：変更前の上記レジストリ値は、「0」となります。)

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
Explorer
ShowSuperHidden = 0

(註：変更前の上記レジストリ値は、「1」となります。)

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Download/Update itself
• Open Skype Application (If Available)
• Open browser applications and visit arbitrary sites
• Search and Download files from affected systems
• Lock users out of affected system
• Terminate malware from the affected system
• Uninstall malware from the affected system
• Perform DDOS attacks:
  - HTTP GET/POST Flood
  - BANDWIDTH Flood
  - RUDY Flood
  - SLOWLORIS Flood
  - ARME Flood
  - UDP Flood
  - ECF Flood
  - BROWSER BASED Flood
• Terminate Process/es from affected systems
• Delete file/s from affected systems

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• http://{BLOCKED}thit.x10.mx/panel/gate.php

マルウェアは、コマンド＆コントロール（C&C）サーバに以下の情報を通知します。

• a = URL (Base64 Encoded)
• b = "|type:on_exec|uid:%s|priv:%s|arch:x%s|gend:%s|cores:%i|os:%s|ver:%s|net:%s|new:" (Encrypted)
• c = Data marker of the response (Base64 Encoded)

ただし、情報公開日現在、このWebサイトにはアクセスできません。

プロセスの終了

マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• autoruns.exe

Webブラウザのホームページおよび検索ページの変更

マルウェアは、IEのゾーン設定を変更します。

情報漏えい

マルウェアは、以下の情報を収集します。

• UID
• PRIVILEDGE (Admin/User/Etc)
• ARCHITECTURE (x86/x64)
• GENDER (Laptop/Desktop/etc)
• NUMBER OF CORES
• OS
• OS VERSION
• .NET VERSION

その他

マルウェアは、以下のファイルの属性を隠しファイルおよびシステムファイル属性に設定します。

• %Windows%\-1474012438\taskhost

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

マルウェアは、以下のプロセスの存在を確認します。

• explorer.exe <- Child process of either "dwm" or "taskhost"
• (Note: This routine is used to check and ensure that the malware is running)

マルウェアは、以下のWebサイトにDNSリクエストを実行します。

• http://{BLOCKED}thit.x10.mx

マルウェア は、自身（コンピュータに侵入して最初に自身のコピーを作成した マルウェア ）を削除します。

---

  対応方法

ご利用はいかがでしたか？　アンケートにご協力ください