• Email
• Facebook
• Twitter
• Google+
• Linkedin

HACKTOOL.VBS.RAVEN.GB

---

• マルウェアタイプ: ハッキングツール
• 破壊活動の有無: なし
• 暗号化: なし
• 感染報告の有無: はい

---

  概要

プログラムは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。 プログラムは、ユーザの手動インストールにより、コンピュータに侵入します。

---

  詳細

侵入方法

プログラムは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

プログラムは、ユーザの手動インストールにより、コンピュータに侵入します。

インストール

プログラムは、感染コンピュータのOSに応じて以下のファイルを作成します。

• %System%\norm{random 5 characters}.nls - contains login log and other error results
• %System%\perf{random 2 characters}{random 3 digits}.dat - stores result
• %User Temp%\~{random 18 characters}.TMP - contains logs of localcommand

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.. %User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

ダウンロード活動

プログラムは、以下のファイル名でダウンロードしたファイルを保存します。

• %System%\{random 16 characters}

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

情報漏えい

プログラムは、以下のパラメータを受け取ります。

• /cmd - single commmand mode
• /shell -half-interactive shell mode
• host = computername or sharename or decvicename or IP address
• pass = password
• user = domainname or username
• persist = and executes specified command without saving to %System%\perf{random 2 characters}{random 3 digits}.dat and executes in background
• saveresult = executes specified command and saves result to %System%\perf{random 2 characters}{random 3 digits}.dat
• wait =displays wait time
• share = creates shared folder
• command = can be any of the following and works in /shell mode
  • localcommand -> run command in local and saves result to %User Temp%\~{random 18 characters}.TMP
  • put -> upload file and saves to shared resource specified in the connected resource and saves as {host}\{Shared folder }\{random 16 characters}
  • get ->download file from {host}\{Shared folder}\{file specified} to %System%\{random 16 characters}
  • exit -> exits the program

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.. %User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

＜補足＞
インストール

プログラムは、感染コンピュータのOSに応じて以下のファイルを作成します。

• %System%\norm{ランダムな5文字}.nsl →ログインのログやその他のエラー結果が含まれる
• %System%\perf{ランダムな英字2文字}{ランダムな数字3文字}.dat →実行結果を保存する
• %User Temp%\~{ランダムな18文字}.TMP →ローカルコマンドのログが含まれる

ダウンロード活動

プログラムは、以下のファイル名でダウンロードしたファイルを保存します。

• %System%\{ランダムな16文字}

情報漏えい

プログラムは、以下のパラメータを受け取ります。

• /cmd - シングルコマンドモード
• /shell - half-interactive shell モード
• host = コンピュータ名、シェア名、端末名、またはIPアドレス
• pass = パスワード
• user = ドメイン名またはユーザ名
• persist = %System%\perf{ランダムな英字2文字}{ランダムな数字3文字}.dat に保存せずに、指定されたコマンドをバックグラウンドで実行する
• saveresult = 指定されたコマンドを実行し、実行結果を %System%\perf{ランダムな英字2文字}{ランダムな数字3文字}.dat に保存する
• wait =待ち時間を表示する
• share =共有フォルダを作成する
• command = は、以下のいずれかで、/ shellモードで動作します。
  • localcommand → ローカルでコマンドを実行し、実行結果を ％User Temp％\〜{ランダムな18文字}.TMPに保存する
  • put → ファイルをアップロードし、接続先リソースで指定された共有リソースに{host}\{共有フォルダ}\{ランダムな16文字}として保存する
  • get → {host}\{共有フォルダ}\{指定されたファイル}から％System％\ {ランダムな16文字}へファイルをダウンロードする
  • exit → プログラムを終了する

その他

プログラムは、以下の機能を備えています。

• ディレクトリを変更する
• net use エントリを削除する
• プロセスを作成する
• 指定されたホストからダウンロードおよびアップロードする
• 指定されたホスト内にネットワーク共有を作成する
• ローカルまたは指定したホスト内でコマンドを実行する
• "net use" を使用して他のホストに接続する（共有リソースへの接続および接続の設定に使用）

---

  対応方法

ご利用はいかがでしたか？　アンケートにご協力ください