Trojan.Win32.SEPOS.A

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、ワーム活動の機能を備えていません。

マルウェアは、バックドア活動の機能を備えていません。

ただし、情報公開日現在、このWebサイトにはアクセスできません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のコンポーネントファイルを作成します。

• %User Temp%\{Random characters}.TMP\Verita.png (script used to create component files)
• %User Temp%\{Random characters}.TMP\Chi.png (malicious AutoIt3 script) → renamed to J
• %User Temp%\{Random characters}.TMP\Detto.png (encrypted payload to be loaded)
• %User Temp%\{Random characters}.TMP\Era.png → contains Scotendosi.exe.com
• %User Temp%\{Random characters}.TMP\Scotendosi.exe.com → used to execute AutoIt3 scripts
• %User Temp%\{Random Characters}.vbs → script used for IP logging

マルウェアは、以下のプロセスを追加します。

• dllhost.exe
• cmd /c cmd < Verita.png
• findstr /V /R "^cjfrXtCHDtyoCzLMuzRXpbumzTgxzzLlANEkKqdstKzKAbenGwaDZjkXyQJtPohlzUHPPAeyemSmtvYWRPOawikgBGyTsjCVvpsFPhJyYjBmz$" Era.png
• Scotendosi.exe.com J
• ping localhost -n 30

マルウェアは、以下のフォルダを作成します。

• %ProgramData%\Posse

(註：%ProgramData%フォルダは、マルチユーザーシステムにおいて任意のユーザがプログラムに変更を加えることができるプログラムファイルフォルダのバージョンです。これには、すべてのユーザのアプリケーションデータが含まれます。Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData" です。Windows Server 2003(32-bit)、2000(32-bit)、XPの場合、通常 "C:\Documents and Settings\All Users" です。 )

他のシステム変更

マルウェアは、インストールの過程で、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\RunOnce → to delete component files
wextract_cleanup0 = rundll32.exe %System%\advpack.dll,DelNodeRunDLL32 "%User Temp%\{Random characters}.TMP\"

感染活動

マルウェアは、ワーム活動の機能を備えていません。

バックドア活動

マルウェアは、バックドア活動の機能を備えていません。

ルートキット機能

マルウェアは、ルートキット機能を備えていません。

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスし、不正なファイルをダウンロードして実行します。

• https://{BLOCKED}o.co/21dTi3
  • → If Country Code is any of the following:
    • CL
    • FR
    • US
    • CY
    • FI
    • HR
    • HU
    • RO
    • PL
    • IT
    • PT
    • ES
    • CA
    • DK
    • AT
    • NL
    • AU
    • AR
    • NP
    • SE
    • BE
    • NZ
    • SK
    • GR
    • BG
    • NO
    • GE
• http://{BLOCKED}.{BLOCKED}.43.188/carlosi345679/sdfg5433456787654.exe
  • → If Country Code is "US"

マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %User Temp%\oihgrodpcgme.exe
• %User Temp%\dqjwakfmqppo.exe

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

ただし、情報公開日現在、このWebサイトにはアクセスできません。

その他

マルウェアは、以下のいずれかのファイルが存在している場合、自身を終了します。

• %User Profile%\Desktop\report.doc
• C:\aaa_TouchMeNot_.txt
• folders:
  • %ProgramData%\AVG
  • %ProgramData%\AVAST Software
  • %ProgramData%\Posse

(註：%User Profile%フォルダは、現在ログオンしているユーザのプロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞" です。. %ProgramData%フォルダは、マルチユーザーシステムにおいて任意のユーザがプログラムに変更を加えることができるプログラムファイルフォルダのバージョンです。これには、すべてのユーザのアプリケーションデータが含まれます。Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData" です。Windows Server 2003(32-bit)、2000(32-bit)、XPの場合、通常 "C:\Documents and Settings\All Users" です。 )

マルウェアは、以下のいずれかのコンピュータ名が感染コンピュータで確認される場合、自身を終了します。

• DESKTOP-QO5QU33
• tz
• NfZtFbPfH
• ELICZ

マルウェアは、脆弱性を利用した感染活動を行いません。

マルウェアは、以下のURLに接続し、国コードを取得します。

• http://{BLOCKED}i.com/json → %User Temp%%{ランダムな16進数}.tmp として保存されます。

マルウェアは、以下の URL に接続し、接続コンピュータの IP アドレスを取得します。

• https://{BLOCKED}er.org/1mBRf7

マルウェアは、以下の追加条件に基づいて、自身を終了させます。

• プロセッサ数が 1の場合
• 実際の物理メモリ容量が2GB未満の場合

マルウェアは、以下のファイルを削除して、コンピュータから痕跡を消します。

• %User Temp% %{ランダムな文字}.TMP

<補足＞
インストール

マルウェアは、以下のコンポーネントファイルを作成します。

• %User Temp%\{ランダムな文-*字}.TMP\Verita.png (コンポーネントファイルを作成するためのスクリプト)
• %User Temp%\{ランダムな文字}.TMP\Chi.png (不正なAutoIt3 スクリプト) → Jに改称される
• %User Temp%\{ランダムな文字}.TMP\Detto.png (ロードされる暗号化されたペイロード)
• %User Temp%\{ランダムな文字}.TMP\Era.png → Scotendosi.exe.comが含まれる
• %User Temp%\{ランダムな文字}.TMP\Scotendosi.exe.com → AutoIt3スクリプトの実行に使用される
• %User Temp%\{ランダムな文字}.vbs → script used for IPロギングに使用されるスクリプト

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスし、不正なファイルをダウンロードして実行します。

• https://{BLOCKED}o.co/21dTi3 → 国コードが以下のいずれかの場合。
  • CL FR US CY FI HR HU RO PL IT PT ES CA DK AT NL AU AR NP SE BE NZ SK GR BG NO GE
• http://{BLOCKED}.{BLOCKED}.43.188/carlosi345679/sdfg5433456787654.exe
  • → 国コードが "US"の場合。