• Email
• Facebook
• Twitter
• Google+
• Linkedin

BKDR_LUMINOSITY.B

---

• マルウェアタイプ: バックドア型
• 破壊活動の有無: なし
• 暗号化: はい
• 感染報告の有無: はい

---

  概要

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、すべての実行中プロセスに組み込まれ、システムのプロセスに常駐します。

マルウェアは、ワーム活動の機能を備えていません。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

マルウェア マルウェアは、自身（コンピュータに侵入して最初に自身のコピーを作成した マルウェア ）を削除します。

---

  詳細

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

• %Application Data%\Microsoft\Credentials\upnpss.exe
• %System Root%\{random numbers 1}\svchost.exe
• %System%\clientmonitor.exe

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.. %System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.. %System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

マルウェアは、以下のファイルを作成します。

• %Application Data%\Microsoft\Credentials\lanmon.exe (watchdog) - also detected as BKDR_LUMINOSITY.B

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

マルウェアは、以下のプロセスを追加します。

• svchost.exe
• AppLaunch.exe
• vbc.ex
• RegAsm.exe
• RegSvcs.exe

マルウェアは、以下のフォルダを作成します。

• {installation directory}\{random numbers 1}
• {installation directory}\{random numbers 2}\{random numbers 3}
• {installation directory}\{random numbers 2}\{random numbers 4}
• {installation directory}\{random numbers 2}\{random numbers 5}

マルウェアは、すべての実行中プロセスに組み込まれ、システムのプロセスに常駐します。

マルウェアは、感染コンピュータ上のメモリに以下のプロセスを確認すると、自身を終了します。

• sandboxierpcss.exe

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
ADOBE READER = ""{installation directory}\{random numbers 1}\svchost.exe" -a /a"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
Userinit = "userinit.exe,"%System%\clientmonitor.exe""

マルウェアは、作成されたコンポーネントがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows NT\CurrentVersion\Windows
Load = "cmd /c %Application Data%\Microsoft\Credentials\lanmon.exe"

感染活動

マルウェアは、ワーム活動の機能を備えていません。

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Download and execute arbitrary files
• Download and execute custom Crypto Miner
• Download custom password recovery tool
• Search for files
• Perform DDOS
• Modify HOSTS file to redirect hosts/URLs
• Visit arbitrary websites (browser can be hidden and have muted audio)
• Seed torrent
• Update itself
• Update backup C&C
• Remote Desktop Control
• Remote shell
• Record audio using system's microphone
• Control Webcam
• Uninstall itself
• Execute/Terminate/Disable Task Manager
• Execute/Terminate/Disable Command Prompt
• Execute/Terminate/Disable Registry Editor
• Hide/Show Taskbar
• Hide/Show Desktop
• Open/Close CD-ROM door
• Swap/Reset Mouse
• Delete Restore points
• Enable/Disable input
• Log off
• Hibernate
• Shutdown system
• Perform network speed test
• Send the followng information:
  
  • CPU information
  • GPU information
  • RAM information
  • Security information
  • Uptime
  • Active Windows
  • Current malware file location
  • Full OS version
  • Keystroke logs
  • Stored passwords
  
  

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• chuksthedon.{BLOCKED}s.org:1177

その他

マルウェア は、自身（コンピュータに侵入して最初に自身のコピーを作成した マルウェア ）を削除します。

マルウェアが作成する以下のファイルは、ウォッチドッグで、「BKDR_LUMINOSITY.B」として検出されます。

• %Application Data%\Microsoft\Credentials\lanmon.exe

バックドアが実行する不正リモートユーザからのコマンドは以下のとおりです。

• 任意のファイルのダウンロードおよび実行
• カスタムされた「Crypto Miner」のダウンロードおよび実行
• カスタムされたパスワードリカバリーツールのダウンロード
• ファイルの検索
• 「分散型サービス拒否（DDoS）攻撃」の実行
• torrentをシード
• 自身の更新
• バックアップのコマンド＆コントロール（C&C）サーバの更新
• リモートデスクトップコントロール
• リモートシェル
• コンピュータのマイクロフォンを利用して音声の録音
• Webカメラのコントロール
• 自身のアンインストール
• タスクマネージャの実行、終了、無効
• コマンドプロンプトの実行、終了、無効　
• レジストリエディタの実行、終了、無効　
• タスクバーの非表示、表示
• デスクトップの非表示、表示
• CD-ROMドアの開閉
• マウスボタンの機能の交換、リセット
• 復元ポイントの削除
• 入力の有効、無効
• ログオフ
• 休止状態
• コンンピュータのシャットダウン
• ネットワークスピードテストの実行
• 以下の情報の送信
  • CPU情報
  • GPU情報
  • RAM情報
  • セキュリティ情報
  • 使用可能時間
  • アクティブウィンドウ
  • 現在のマルウェアのファイルの位置
  • オペレーティングシステム（OS）の完全なバージョン
  • キー入力操作情報
  • 保存されたパスワード

変数"{installation directory}"は、感染コンピュータのOSによります。

• %System Root% - Windows XPおよびそれ以前OSの場合
• %ProgramData% - Windows Vistaおよびそれ以降のOSの場合

変数"{random numbers 3}"、"{random numbers 4}"および"{random numbers 5}"は、連続した数字です。

マルウェアは、コンピュータ内のセキュリティ対策製品やファイアウォール製品を調べ、セキュリティ対策サービスをブロックします。セキュリティ対策製品やファイアウォール製品が確認されると、マルウェアはセキュリティ対策サービスおよびプロセスを終了します。

マルウェアは、モジュール"snxhk.dll"を検索し、"Avast Antivirus"の存在を確認します。そのモジュールを確認した場合、マルウェアは、感染コンピュータをスリープモードにします。

以下のいずれかのドライバーの記述を確認した場合、マルウェアは自身を終了します。

• virtualbox graphics adapter
• vmware svga ii
• vm additions s3 trio32/64

マルウェアは、ルートキット機能を備えていません。

マルウェアは、脆弱性を利用した感染活動を行いません。

---

  対応方法

ご利用はいかがでしたか？　アンケートにご協力ください