TROJ_WATERTIGER-C.ZJGL

2020年1月17日

解析者: Warren Adam Sto. Tomas

別名:

Trojan:Win32/Harmony.A!dha (Microsoft)

プラットフォーム:

Windows

危険度:

ダメージ度:

感染力:

感染確認数:

システムへの影響:

情報漏えい:

マルウェアタイプ: トロイの木馬型
破壊活動の有無: なし
暗号化: はい
感染報告の有無: はい

概要

感染経路他のマルウェアからの作成, インターネットからのダウンロード

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、ワーム活動の機能を備えていません。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。

詳細

ファイルサイズ 3,024,848 bytes

タイプ EXE

メモリ常駐はい

発見日 2019年12月13日

ペイロードファイルの作成, URLまたはIPアドレスに接続, 情報収集

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

%User Startup%\sched.exe

(註：%User Startup%フォルダは、現在ログオンしているユーザのスタートアップフォルダです。Windows 98およびMEの場合、通常 "C:\Windows\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows NTの場合、通常 "C:\WINNT\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows 2003(32-bit)、XP、2000(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows Vista、7、8、 8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup" です。)

自動実行方法

マルウェアは、Windows起動時に自動実行されるよう＜User Startup＞フォルダ内に以下のファイルを作成します。

%User Startup%\sched.exe

感染活動

マルウェアは、ワーム活動の機能を備えていません。

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

Execute arbitrary code

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

fashion.andr{BLOCKED}.com:443
sakurings.fl{BLOCKED}.org:443

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

fashion.andr{BLOCKED}.com:443
sakurings.fl{BLOCKED}.org:443

ただし、情報公開日現在、このサーバには接続できません。

ルートキット機能

マルウェアは、ルートキット機能を備えていません

情報漏えい

マルウェアは、以下の情報を収集します。

Computer Name
User Name
Process ID of running malware process

その他

マルウェアは、以下を実行します。

It copies the timestamp of the file %System%\notepad.exe

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

マルウェアは、脆弱性を利用した感染活動を行いません。

<補足>
バックドア活動