• Email
• Facebook
• Twitter
• Google+
• Linkedin

BKDR_RARSTONE.A

---

• マルウェアタイプ: バックドア型
• 破壊活動の有無: なし
• 暗号化: はい
• 感染報告の有無: はい

---

  概要

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

マルウェアは、プロセスの挿入およびBLOBファイルの利用のように「PlugX」の手法と類似した手法を用います。マルウェアは、自身のコマンド＆コントロール（C&C）サーバ内にあるバックドアのファイルを直接読み込みます。これにより、ファイルがダウンロードされないため、バックドアのコードをファイルベースで検出することが不可能となります。

マルウェアは、他のマルウェアに作成され、コンピュータに侵入します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

---

  詳細

侵入方法

マルウェアは、以下のマルウェアに作成され、コンピュータに侵入します。

• TROJ_ARTIEF.NTZ

インストール

マルウェアは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

• %System%\ymsgr_tray.exe

(註：%System%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では "C:\Windows\System32" です。)

マルウェアは、以下のファイルを作成します。

• %Application Data%\profile.dat - blob file containing malware routines

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

マルウェアは、以下のプロセスを追加します。

• iexplore.exe

マルウェアは、以下のプロセスに自身を組み込み、システムのプロセスに常駐します。

• iexplore.exe

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
Yahoo! = ""%System%\ymsgr_tray.exe" -local"

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Get computer name and name of current user
• Retrieve list of local groups where the current user belongs.
• Create autorun registry entries
• Enumerate files and directories
• Get drive information
• Upload files
• Download files
• Execute files
• Download plugin and load into memory
• Enumerate processes
• Enumerate process modules
• Get process information
• Terminate processes
• Get installer properties from Uninstall Registry Key entries
• Manage files and directories (create, delete, modify, rename, search)
• Manage registries (create, delete, modify, search, view)
• Manage services (install, modify, search, start, stop, uninstall, view)
• Get service information
• Manage windows
• Perform remote shell
• Restart system
• Remove self from system
• Update self and configuration
• Enumerate TCP and UDP connection states

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• {BLOCKED}805.{BLOCKED}y.net

その他

マルウェアが作成する以下のファイルは、マルウェアの不正活動を含むBLOBファイルです。

• %Application Data%\profile.dat

マルウェアが実行するコマンドは以下のとおりです。

• コンピュータ名およびカレントユーザ名の取得
• カレントユーザが所属しているローカルグループのリストの収集
• 自動実行レジストリ値の作成
• ファイルおよびディレクトリの列挙
• ドライブ情報の取得
• ファイルのアップロード
• ファイルのダウンロード
• ファイルの実行
• プラグインのダウンロードおよびメモリへのロード
• プロセスの列挙
• プロセスモジュールの列挙
• プロセス情報の取得
• プロセスの終了
• レジストリ「Uninstall」の値からInstaller プロパティの取得
• ファイルおよびディレクトリの管理（作成、削除、変更、改称、検索）
• レジストリの管理（作成、削除、変更、検索、表示）
• サービス情報の取得
• ウィンドウの管理
• リモートシェルの実行
• コンピュータの再起動
• コンピュータからの自身の削除
• 自身および環境設定の更新
• TCPおよびUDPの接続状況の列挙

マルウェアは、自身の不正活動の実行のために、以下のコマンドラインのパラメータを必要とします。

• -＜いずれかの文字列＞cal

---

  対応方法

ご利用はいかがでしたか？　アンケートにご協力ください