• Email
• Facebook
• Twitter
• Google+
• Linkedin

Trojan.Win32.INFOSTEAL.AA.tmsr

---

• マルウェアタイプ: トロイの木馬型
• 破壊活動の有無: なし
• 暗号化:  
• 感染報告の有無: はい

---

  概要

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

---

  詳細

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成し実行します。

• %Temp%\ttt.exe -> modified copy of itself. Detected as Trojan.Win32.INFOSTEAL.AA.tmsr
• %System%\wmiex.exe -> modified copy of itself. Detected as Trojan.Win32.INFOSTEAL.AA.tmsr
• %System%\drivers\taskmgr.exe -> detected as Coinminer.Win32.MALXMR.ADS

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %System%\drivers\svchost.exe
• %System%\svhost.exe

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

マルウェアは、以下のプロセスを追加します。

• netsh firewall add portopening tcp 65532 UDP
• netsh firewall add portopening tcp 65531 UDP2
• netsh firewall add portopening tcp 65533 ShareService
• netsh interface portproxy add v4tov4 listenport=65532 connectaddress=1.1.1.1 connectport=53
• netsh interface portproxy add v4tov4 listenport=65531 connectaddress=1.1.1.1 connectport=53

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• AHDPQOE987aaapb7
• it is holy shit

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
Ddriver = %System%\drivers\svchost.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
WebServers = %System%\wmiex.exe

マルウェアは、以下のサービスを追加し、実行します。

• Ddriver:
  • Description: Provides abilitiy to share TCP ports over the net.tcp protocol {Date of Installation}
  • Path: %System%\drivers\svchost.exe
• WebServers:
  • Description: forwards it to Provide HTTP Servers.
  • Path: %System%\wmiex.exe

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

他のシステム変更

マルウェアは、インストールの過程で、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\WebServers
ImagePath = %System%\wmiex.exe

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\WebServers
DisplayName = WebServers

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\Ddriver
DisplayName = Ddriver

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\Ddriver
ImagePath = %System%\drivers\svchost.exe

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\PortProxy\v4tov4\
tcp
*/65532 = 1.1.1.1/53

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\PortProxy\v4tov4\
tcp
*/65531 = 1.1.1.1/53

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスし、ファイルをダウンロードします。

• http://ii.{BLOCKED}.net/u.png?{Stolen Info}
• http://p.{BLOCKED}.com/im.png?{Stolen Info}
• http://i.{BLOCKED}.net/i.png?{Stolen Info}
• http://o.{BLOCKED}.com/i.png?{Stolen Info}
• http://{BLOCKED}.{BLOCKED}.107.97/h.bat?{Stolen Info}
• http://{BLOCKED}.{BLOCKED}.107.97/xmrig-32_1.mlz?{Stolen Info}
• http://dl.{BLOCKED}.net/ins2.exez?{Stolen Info}

マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %Temp%\h.bat -> cointains flushdns command
• %Temp%\svchost.exe -> Trojan.WIn32.MIMIKATZ.ADU
• %Temp%\svchost.mlz -> encrypted file read by taskmgr.exe for its coinminingroutine

情報漏えい

マルウェアは、以下の情報を収集します。

• Computer Name
• GUID
• MAC Address
• User Name
• Version
• Operating System
• AV Products
• OS Architecture = 32/64 bit
• CPU
• Video Card

その他

マルウェアは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\Ddriver

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\WebServers

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\PortProxy\v4tov4

マルウェアは、以下を実行します。

• Terminates all running old version of the malware
• For 64 bit systems, the value of %System% is equivalent to C:\Windows\SysWOW64
• Enable port forwarding and enables windows firewall
• Connects to the following URL to send system information:
  • http://ii.{BLOCKED}.net/u.png?{Stolen Info}
  • http://p.{BLOCKED}.com/im.png?{Stolen Info}
  • http://i.{BLOCKED}.net/i.png?{Stolen Info}
  • http://o.{BLOCKED}.com/i.png?{Stolen Info}
  • http://{BLOCKED}.{BLOCKED}.107.97/h.bat?{Stolen Info}
  • http://{BLOCKED}.{BLOCKED}.107.97/xmrig-32_1.mlz?{Stolen Info}
  • http://dl.{BLOCKED}.net/ins2.exez?{Stolen Info}

以下のスケジュールされたタスクを追加します：

• Task Name: Ddrivers
  • Task Action: cmd /c %System%\drivers\svchost.exe
• Task Name: WebServers
  • Task Action: cmd /c %System%\wmiex.exe

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

---

  対応方法

ご利用はいかがでしたか？　アンケートにご協力ください