• Email
• Facebook
• Twitter
• Google+
• Linkedin

BKDR_VAWTRAK.YUYJT

---

• マルウェアタイプ: バックドア型
• 破壊活動の有無: なし
• 暗号化:  
• 感染報告の有無: はい

---

  概要

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、ワーム活動の機能を備えていません。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

マルウェアは、Internet Explorer（IE）のゾーン設定を変更します。

マルウェアは、実行後、自身を削除します。

---

  詳細

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %All Users Profile%\Application Data\{random filename}.dat – detected as BKDR_VAWTRAK.YZH

(註：%All Users Profile%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\All Users”、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\ProgramData” です。.)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{random filename} = regsvr32.exe "%All Users Profile%\Application Data\{random filename}.dat "

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\
Microsoft\Windows\Safer\
CodeIdentifiers
DefaultLevel = "262144"

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\
Microsoft\Windows\Safer\
CodeIdentifiers
TransparentEnabled = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\
Microsoft\Windows\Safer\
CodeIdentifiers
PolicyScope = "0"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Main
NoProtectedModeBanner = "1"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Main
TabProcGrowth = "0"

マルウェアは、以下のレジストリキーを削除します。

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\
Microsoft\Windows\Safer\
CodeIdentifiers\0\Paths

感染活動

マルウェアは、ワーム活動の機能を備えていません。

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Log keystrokes
• Capture Screenshots
• Open a process
• Install Updates
• List Process
• Inject code to process
• Download and execute files
• Download configuration
• Perform remote shell

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• http://{BLOCKED}.{BLOCKED}.233.38/{path}?{data}
• http://{BLOCKED}.{BLOCKED}.233.80/{path}?{data}
• http://{BLOCKED}.{BLOCKED}.192.106/{path}?{data}
• http://{BLOCKED}.{BLOCKED}.192.110/{path}?{data}
• http://{BLOCKED}.{BLOCKED}.51.216/{path}?{data}
• http://{BLOCKED}.{BLOCKED}.184.239/{path}?{data}
• http://{BLOCKED}ag.com/{path}?{data}
• http://{BLOCKED}ka.com/{path}?{data}
• http://{BLOCKED}ng.com/{path}?{data}
• http://{BLOCKED}lon.com/{path}?{data}
• http://{BLOCKED}rda.com/{path}?{data}
• http://{BLOCKED}z.com/{path}?{data}
• http://{BLOCKED}on.com/{path}?{data}
• http://{BLOCKED}lpane.com/{path}?{data}
• http://{BLOCKED}ka.com/{path}?{data}

ただし、情報公開日現在、このWebサイトにはアクセスできません。

Webブラウザのホームページおよび検索ページの変更

マルウェアは、IEのゾーン設定を変更します。

情報漏えい

マルウェアは、コンピュータ内に以下のFTPクライアントまたはファイルマネージャのアカウント情報が保存されている場合、これらのアカウント情報を収集します。

• 32BitFtp
• 3D-FTP
• AceBIT
• Adobe
• BitKinex
• BulletProof FTP
• CoffeeCup Software
• Cryer Website Publisher
• Cyberduck
• DeluxeFTP
• EasyFTP
• Estsoft ALFTP
• ExpanDrive
• FTP Commander
• FTP Control
• FTP Explorer
• FTP Navigator
• FTP++
• FTPGetter
• FTPNow
• FTPRush
• FTPShell
• FTPWare COREFTP
• Far Manager
• FileZilla
• FireFTP
• FlashFXP 3
• FlashFXP 4
• FlashPeak BlazeFtp
• Fling FTP
• FreshFTP
• Frigate3
• GPSoftware Directory Opus
• Ghisler Total Commander
• Ghisler Windows Commander
• Global Downloader
• GlobalSCAPE CuteFTP
• GlobalSCAPE CuteFTP 6 Home
• GlobalSCAPE CuteFTP 6 Professional
• GlobalSCAPE CuteFTP 7 Home
• GlobalSCAPE CuteFTP 7 Professional
• GlobalSCAPE CuteFTP 8 Home
• GlobalSCAPE CuteFTP 8 Professional
• GlobalSCAPE CuteFTP Lite
• GlobalSCAPE CuteFTP Pro
• GoFTP
• INSoftware NovaFTP
• Ipswitch WS_FTP
• LeapFTP
• LeechFTP
• LinasFTP
• MAS-Soft FTPInfo
• MS IE FTP
• Martin Prikryl
• My FTP
• NCH Software ClassicFTP
• NetDrive
• NetSarang
• NexusFile
• Nico Mak Computing WinZip FTP
• NppFTP
• RhinoSoft FTPVoyager
• Robo-FTP
• SimonTatham PuTTY
• SmartFTP
• SoftX.org FTPClient
• Sota FFFTP
• South River Technologies WebDrive
• Staff-FTP
• TurboFTP
• UltraFXP
• VanDyke SecureFX
• Visicom Media
• WinFTP
• WiseFTP

マルウェアは、保存されている以下のEメール認証情報を収集します。

• IncrediMail
• MS Outlook
• Poco Systems Pocomail
• RIT The Bat!
• RimArts Internet Mail
• Thunderbird
• Windows Live Mail
• Windows Mail

マルウェアは、以下のブラウザから、ユーザ名、パスワードやホスト名といった保存された情報を収集します。

• Epic
• FastStone Browser
• Flock
• Internet Explorer
• K-Meleon
• Mozilla Firefox
• Mozilla SeaMonkey

その他

マルウェアは、実行後、自身を削除します。

マルウェアが作成する以下のファイルは、「BKDR_VAWTRAK.YZH」として検出されます。

• %All Users Profile%\Application Data\{random filename}.dat

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• キー入力操作情報の記録
• スクリーンショットの取得
• プロセスの展開
• 更新プログラムのインストール
• プロセスの列挙
• プロセスにコードを挿入
• ファイルのダウンロードおよび実行
• 環境設定ファイルのダウンロード
• リモートシェルの実行

マルウェアは、感染したコンピュータを制御するために仮想ネットワークコンピューティング(VNC)サーバを設定する機能を備えています。

マルウェアは、以下を除く全ての実行中のプロセスにコードを挿入します。

• csrss.exe
• lsass.exe
• lsm.exe
• services.exe
• smss.exe
• svchost.exe
• taskhost.exe
• wininit.exe
• winlogon.exe

マルウェアは、以下のプロセスに自身が挿入された場合のみ自身の不正活動を実行します。

• chrome.exe
• explorer.exe
• firefox.exe
• iexplore.exe

マルウェアは、以下のセキュリティ対策製品に関連するフォルダの有無を確認します。

• %System Root%\Documents and Settings\NetworkService\Local Settings\Application Data\F-SecureF-Secure Internet Security
• {file path}\AVAST Software
• {file path}\AVG
• {file path}\Agnitum
• {file path}\Alwil Software
• {file path}\AnVir Task Manager
• {file path}\ArcaBit
• {file path}\Avira
• {file path}\Avira GmbH
• {file path}\BitDefender
• {file path}\BlockPost
• {file path}\Common Files\Doctor Web
• {file path}\Common Files\G DATA
• {file path}\Common Files\P Tools
• {file path}\Common Files\Symantec Shared
• {file path}\DefenseWall
• {file path}\DefenseWall HIPS
• {file path}\Doctor Web
• {file path}\DrWeb
• {file path}\ESET
• {file path}\FRISK Software
• {file path}\G DATA
• {file path}\K7 omputing
• {file path}\Kaspersky Lab
• {file path}\Kaspersky Lab Setup Files
• {file path}\Lavasoft
• {file path}\Malwarebytes
• {file path}\Malwarebytes' Anti-Malware
• {file path}\McAfee
• {file path}\McAfee.com
• {file path}\Microsoft Security Essentials
• {file path}\Microsoft\Microsoft Antimalware
• {file path}\Norton AntiVirus
• {file path}\Microsoft Security Client
• {file path}\Online Solutions
• {file path}\P Tools
• {file path}\P Tools Internet Security
• {file path}\Panda Security
• {file path}\Positive Technologies
• {file path}\Sandboxie
• {file path}\Security Task Manager
• {file path}\Spyware Terminator
• {file path}\Sunbelt Software
• {file path}\Symantec
• {file path}\Trend Micro
• {file path}\UAenter
• {file path}\Vba32
• {file path}\Xore
• {file path}\Zillya Antivirus
• {file path}\a-squared Anti-Malware
• {file path}\a-squared HiJackFree
• {file path}\avg8
• {file path}\f-secure

  変数{file path} には、以下のいずれかがあてはまります。

  • %Program Files%
  • %Program Files% (x86)
  • %All Users Profile%\Application Data

マルウェアは、上記のいずれかのフォルダを確認すると、レジストリ値を作成し、制限された権限で強制的にこれらのセキュリティ対策製品を実行します。

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\Safer\CodeIdentifiers\Paths\{random generated GUID}
ItemData = "{blacklisted software path}"
SaferFlags = "0"

マルウェアは、インストールされたプログラムおよびアンインストールパスのリストを取得するために以下のレジストリに接続します。

• HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\DisplayName
• HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\UninstallString

マルウェアは、Internet Explorer、Windows Protected Storageおよび以下のレジストリキー内のInternet Explorerにより保存された全ての自動補完エントリからパスワードを窃取します。

HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\IntelliForms\Storage2

マルウェアは、ルートキット機能を備えていません。

マルウェアは、脆弱性を利用した感染活動を行いません。

---

  対応方法

ご利用はいかがでしたか？　アンケートにご協力ください