Trend Micro Security

TROJ_RESETTER.BB

2015年5月22日
 解析者: Joachim Suico   
 別名:

Downloader.Ponik (Symantec); W32/FrauDrop.AD!tr (Fortinet); Trojan-Dropper.Win32.FrauDrop.aijhq (Kaspersky)

 プラットフォーム:

Windows

 危険度:
 ダメージ度:
 感染力:
 感染確認数:
 情報漏えい:


  • マルウェアタイプ: トロイの木馬型
  • 破壊活動の有無: なし
  • 暗号化:  
  • 感染報告の有無: はい

  概要


マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

  詳細

ファイルサイズ 966,299 bytes
タイプ EXE
メモリ常駐 はい
発見日 2015年4月29日

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

  • %User Temp%\15_01_2015.doc
  • %User Temp%\vnc\MSRC4Plugin_for_sc.dsm
  • %User Temp%\vnc\rc4.key
  • %User Temp%\vnc\UltraVNC.ini
  • %User Temp%\vnc\winlogons.exe
  • %User Temp%\vnc\cop\MSRC4Plugin_for_sc.dsm
  • %User Temp%\vnc\cop\rc4.key
  • %User Temp%\vnc\cop\UltraVNC.ini
  • %User Temp%\vnc\cop\win.exe
  • %User Temp%\vnc\cop\winlogons.cmd
  • %User Temp%\vnc\cop\winlogons.exe
  • %User Temp%\vnc\cop\winlogons.vbs
  • %Windows%\Tasks\ChromeUpdates_ups.job

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.. %Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

マルウェアは、以下の無害なファイルを作成します。

  • %User Temp%\wget.exe

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

マルウェアは、以下のフォルダを作成します。

  • %Application Data%\ChromeUpdates
  • %User Temp%\vnc
  • %User Temp%\vnc\cop
  • %Windows%\ChromeUpdates

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.. %User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.. %Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスし、ファイルをダウンロードします。

  • http://e.{BLOCKED}j.ua/dumper/backup/chrome-xvnc-v5517.exe
  • http://e.{BLOCKED}j.ua/dumper/backup/chromeupdates.exe

マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。

  • %Application Data%\chromeupdates.exe
  • %User Temp%\chrome-xvnc-v5517.exe
  • %User Temp%\chromeupdates.exe
  • %Windows%\ChromeUpdates\chromeupdates.exe
  • %User Startup%\chrome-xvnc-v5517.exe

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.. %User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.. %Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.. %User Startup%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞\Start Menu\Programs\Startup" 、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、" C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup" です。.)

その他

マルウェアは、以下の不正なWebサイトにアクセスします。

  • grom56.{BLOCKED}s.net:5500