• Email
• Facebook
• Twitter
• Google+
• Linkedin

BKDR_KASIDET.FD

---

• マルウェアタイプ: バックドア型
• 破壊活動の有無: なし
• 暗号化: はい
• 感染報告の有無: はい

---

  概要

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

このマルウェアは、ボット「Neutrino」（「Kasidet」）に関連する検体の１つです。このマルウェアのコードは、2015年7年にアンダーグラウンドのフォーラムで流出しました。

マルウェアは、大量送信されたスパムメールに添付されて、コンピュータに侵入します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。 ただし、情報公開日現在、このWebサイトにはアクセスできません。

マルウェアは、実行後、自身を削除します。

---

  詳細

侵入方法

マルウェアは、大量送信されたスパムメールに添付されて、コンピュータに侵入します。

インストール

マルウェアは、以下のフォルダを追加します。

• %Application Data%\Y1FeZFVYXllb

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Application Data%\Y1FeZFVYXllb\{random filename}.exe

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• Y1FeZFVYXllb

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
{random filename}.exe = "%Application Data%\Y1FeZFVYXllb\{random filename}.exe"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{random filename}.exe = "%Application Data%\Y1FeZFVYXllb\{random filename}.exe"

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\MWZLesson

HKEY_CURRENT_USER\Software\MWZLesson\
Addr

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\MWZLesson
rate = "{value}"

HKEY_CURRENT_USER\Software\MWZLesson
{random digits} = "{value}"

HKEY_CURRENT_USER\Software\MWZLesson
arr = "Base-64 of URL"

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Download and Execute Files (vbs, dll, exe)
• Update itself
• Uninstall itself
• Find File
• Perform Remote Shell
• Performs DDOS attack

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• http://{BLOCKED}y.su/mu/tasks.php
• http://{BLOCKED}p.su/mu/tasks.php

ただし、情報公開日現在、このWebサイトにはアクセスできません。

情報漏えい

マルウェアは、以下の情報を収集します。

• ComputerName
• OS Version
• Machine GUID

その他

マルウェアは、実行後、自身を削除します。

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• ファイル（拡張子"vbs"、"dll"、"exe")のダウンロードおよび実行
• 自身の更新
• 自身のアンインストール
• ファイルの検索
• リモートシェルの実行
• 「分散型サービス拒否（DDoS）攻撃」の実行

マルウェアが収集する情報は以下のとおりです。

• コンピュータ名
• OSのバージョン
• コンピュータのGUID

"{random filename}"には、"svchost.exe"または"%Windows%"ディレクトリ内で確認される以下の文字列を含まないEXEファイルのいずれかが当てはまります。

• install
• setup
• update
• patch

マルウェアは、以下のプロセスを除く実行中のすべてのプロセスのメモリをスキャンし、トラック1およびトラック2のクレジットカード情報を取得します。

• System
• smss.exe
• csrss.exe
• winlogon.exe
• lsass.exe
• spoolsv.exe
• devenv.exe

マルウェアは、以下のブラウザおよびクライアントのWindows APIをフックします。

• Firefox
• Chrome
• Internet Explorer

マルウェアは以下を確認します。

• セルフデバッカまたはリモートデバッカが存在するかどうか。
• コンピュータ名が以下の文字列を含んでいるかどうか。
  • MALTEST
  • TEQUILABOOMBOOM
  • SANDBOX
  • VIRUS
  • MALWARE
• ファイルのパスが以下の文字列を含んでいるかどうか。
  • SAMPLE
  • VIRUS
  • SANDBOX
• "kernel32.dll"が以下の関数をエクスポートするかどうか。
  • wine_get_unix_file_name
• 以下のいずれかのレジストリが存在するかどうか。
  • HKEY_LOCAL_MACHINE\SOFTWARE\VMware, Inc.\VMware Tools
  • HKEY_LOCAL_MACHINE\SOFTWARE\Oracle\VirtualBox Guest Additions
• 以下のレジストリ値が、"VMWARE"、"VBOX"、"QEMU"を含んでいるかどうか。
  • HKEY_LOCAL_MACHINE\HARDWARE\DEVICEMAP\Scsi\Scsi Port 0\Scsi Bus 0\Target Id 0\Logical Unit Id 0
    Identifier
• 以下のレジストリ値が、"VBOX"、"QEMU"、"BOCHS"を含んでいるかどうか。
  • HKEY_LOCAL_MACHINE\HARDWARE\Description\System
    SystemBiosVersion
• 以下のレジストリ値が、"VIRTUALBOX"を含んでいるかどうか。
  • HKEY_LOCAL_MACHINE\HARDWARE\Description\System
    VideoBiosVersion

いずれかの条件が一致した場合、マルウェアは自身を終了し、以下のエラーメッセージを表示します。

以下はこのマルウェアが添付されたスパムメールのサンプルです。

---

  対応方法

ご利用はいかがでしたか？　アンケートにご協力ください