Backdoor.ASP.WEBSHELL.X

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Execute Arbitrary commands
• Execute SQL commands
• Browse files and directories on the web server.
• Upload files to the server.
• Download files from the server.
• Create new files and directories.
• Edit existing files.
• Delete files and directories.
• Change file attributes (read-only, hidden, system, archive).

情報漏えい

マルウェアは、以下の情報を収集します。

• Server IP address
• Machine name
• Network name
• Running user's name
• Operating system version
• Server uptime and current time
• IIS (web server) version
• HTTPS status
• Request paths
• Server port
• Session ID

その他

マルウェアは、以下を実行します。

• It receives arbitrary commands passed through its request parameter.
• It requires login credential to access its functionalities.
• It navigates to the specified website when the 'lake' hyperlink is clicked.
  • http://{BLOCKED}2.0x54.org

<補足>
<>bバックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• 任意のコマンドの実行
• SQLコマンドの実行
• Web サーバ上のファイルおよびディレクトリの参照
• サーバにファイルのアップロード
• サーバからファイルのダウンロード
• 新しいファイルおよびディレクトリの作成
• 既存のファイルの編集
• ファイルおよびディレクトリの削除
• ファイル属性（読み取り専用属性、隠しファイル属性、システムファイル属性、アーカイブ属性）の変更

情報漏えい

マルウェアは、以下の情報を収集します。

• サーバのIPアドレス
• コンピュータ名
• ネットワーク名
• 実行しているユーザ名
• オペレーティング・システム（OS）のバージョン
• サーバの稼働時間および現在時刻
• IIS（Web サーバ）のバージョン
• HTTPSステータス
• リクエストパス
• サーバのポート
• セッションID

その他

マルウェアは、以下を実行します。

• 自身のリクエストパラメータを通じて渡された任意のコマンドを受信します。
• 自身の機能にアクセスするにログイン認証情報が必要となります。
• ハイパーリンク「lake」がクリックされた場合、マルウェアは、指定された Webサイトに誘導します。