• Email
• Facebook
• Twitter
• Google+
• Linkedin

Trojan.Win64.VALLEYRAT.THHBGBD

---

• マルウェアタイプ: トロイの木馬型
• 破壊活動の有無: なし
• 暗号化:  
• 感染報告の有無: はい

---

  概要

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

---

  詳細

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスを追加します。

• Invoke-Command -Command {Add-MpPreference -ExclusionPath {Root drive of the malware path}

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• TEST

自動実行方法

マルウェアは、Windows起動時に自動実行されるよう＜User Startup＞フォルダ内に以下のファイルを作成します。

• %User Startup%\CompMgmtLauncher.lnk
• %User Startup%\eventvwr.lnk

(註：%User Startup%フォルダは、現在ログオンしているユーザのスタートアップフォルダです。Windows 98およびMEの場合、通常 "C:\Windows\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows NTの場合、通常 "C:\WINNT\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows 2003(32-bit)、XP、2000(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows Vista、7、8、 8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup" です。)

他のシステム変更

マルウェアは、以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\
kingsoft\antivirus\Windhunter
WindhunterLevel = 4

HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\
kingsoft\antivirus\Windhunter
WindhunterSwitch = 0

HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\
kingsoft\antivirus\KSetting
kxesc = 0

HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\
kingsoft\antivirus\KAVReport
AutoStart = 0

HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\
Tencent\QQPCMgr
autostart = 0

マルウェアは、以下のレジストリキーを削除します。

HKEY_CURRENT_USER\Console\IpDate

HKEY_CURRENT_USER\Software\Classes\
mscfile

HKEY_CURRENT_USER\Software\Classes\
ms-settings

HKEY_CURRENT_USER\Software\Classes\
.pwn

プロセスの終了

マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• 360Sd.exe
• 360leakfixer.exe
• safesvr.exe
• MultiTip.exe
• 360Tray.exe
• 360tray.exe
• 360Safe.exe
• 360safe.exe
• ZhuDongFangYu.exe
• kscan.exe
• kwsprotect64.exe
• kxescore.exe
• kxetray.exe
• HipsMain.exe
• HipsTray.exe
• QMDL.exe
• QMPersonalCenter.exe
• QQPCPatch.exe
• QQPCRealTimeSpeedup.exe
• QQPCRTP.exe
• QQPCTray.exe

その他

マルウェアは、以下のWebサイトにアクセスしてインターネット接続を確認します。

• http://www.{BLOCKED}u.com

マルウェアは、以下を実行します。

• After the process termination, it checks again for the following processes to see if they are still running in the system.
  • kxetray.exe
  • 360sd.exe
  • 360Tray.exe
  • 360tray.exe
  • 360Safe.exe
  • 360safe.exe
  • QQPCTray.exe
  • MsMpEng.exe
  • HipsTray.exe
  • If any of these processes are still running, it will do the following:
  • Injects a shellcode into a running lsass process.
  • It terminates the following processes if found running in the affected system:
  • 360Sd.exe
  • 360tray.exe
  • 360Safe.exe
  • 360safe.exe
  • HipsMain.exe
  • HipsTray.exe
  • QMDL.exe
  • QQPCTray.exe
  • QQPCRTP.exe
• If the following processes within its list are still found running in the system, the malware process displays an “ERROR” message box and terminates.
  
• It checks for the presence of the following files:
  • %User Profile%\wwlib.dll
  • %User Profile%\WinWord.exe
• It checks the following registry entries related to popular communication applications.
  • HKEY_CURRENT_USER\Software\Tencent\Wechat
  • HKEY_CURRENT_USER\Software\Dingtalk
• It retrieves the URL of the C2 server stored in this registry entry by the main loader:
  • HKEY_CURRENT_USER\Console
  IpDateInfo
  • It will connect to the following URL after successfully retrieving the information.

以下のスケジュールされたタスクを追加します：

• Name: CompMgmtLauncher
• Trigger: At log on of any user
• Actions: Start a program - %System%\eventvwr.msc

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

---

  対応方法

ご利用はいかがでしたか？　アンケートにご協力ください