Backdoor.BAT.XERYC.A

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、ワーム活動の機能を備えていません。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。 マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。 ただし、情報公開日現在、このWebサイトにはアクセスできません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %ProgramData%\WinRar.ps1
• %ProgramData%\WinRar.bat

(註：%ProgramData%フォルダは、マルチユーザーシステムにおいて任意のユーザがプログラムに変更を加えることができるプログラムファイルフォルダのバージョンです。これには、すべてのユーザのアプリケーションデータが含まれます。Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData" です。Windows Server 2003(32-bit)、2000(32-bit)、XPの場合、通常 "C:\Documents and Settings\All Users" です。 )

マルウェアは、以下のプロセスを追加します。

• %System%\cmd.exe /K {malware fullpath}
• %System%\cmd.exe /S /D /c" echo Y "
• reg add HKCU\Software\Microsoft\Windows\CurrentVersion\Run /v "SecurityHelper" /t REG_SZ /d "\"%ProgramData%\WinRAR.bat\"" /f
• powershell.exe -ExecutionPolicy Bypass -WindowStyle Hidden -NoProfile -File "%ProgramData%\WinRAR.ps1"
• runas -noexit -c whoami /priv
• shutdown /r /t 0
• shutdown /s /t 0

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.. %ProgramData%フォルダは、マルチユーザーシステムにおいて任意のユーザがプログラムに変更を加えることができるプログラムファイルフォルダのバージョンです。これには、すべてのユーザのアプリケーションデータが含まれます。Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData" です。Windows Server 2003(32-bit)、2000(32-bit)、XPの場合、通常 "C:\Documents and Settings\All Users" です。 )

マルウェアは、以下のプロセスに自身を組み込み、システムのプロセスに常駐します。

• explorer.exe

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• mCm3NbtweBexBwESanCD8TZ5j2UFZ9l9

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
SecurityHelper = %ProgramData%\WinRAR.bat

他のシステム変更

マルウェアは、以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows Defender\Real-Time Protection
DisableRealtimeMonitoring = 1

感染活動

マルウェアは、ワーム活動の機能を備えていません。

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• List All Available Drives on the System
• List Files and Directories
• File Operations: Create, Delete. Rename, Move, Copy, and Execute Files
• File Upload
• File Download
• Arbitrary Commands

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• {BLOCKED}.{BLOCKED}.138.100:4446

ただし、情報公開日現在、このWebサイトにはアクセスできません。

ルートキット機能

マルウェアは、ルートキット機能を備えていません。

情報漏えい

マルウェアは、以下の情報を収集します。

• OS Version
• Username
• Hostname
• Domain Name
• Keystrokes
• List of Installed Anti-Virus Products
• List of Drives
• Hardware Devices Information
• Login Information
• Total System Uptime

その他

マルウェアは、以下を実行します。

• It patches the clr.dll to disable AMSI Scanning.
• It steals browser information from the following:
  • Chrome
  • Edge
  • Firefox
  • Brave
• It uses the following configuration to setup AnyDesk in the system:
  • ad.anynet.pwd_hash={BLOCKED}77459d5c108877fd130a161d169ff2f143dffe914dd12bac71364aff65
  • ad.anynet.pwd_salt={BLOCKED}d5ec543ae481906af92eb0f694
• It creates the following directory if AnyDesk is installed in the system:
  • %Application Data%\AnyDesk
• It creates the following files if AnyDesk is installed in the system:
  • %Application Data%\AnyDesk\service.conf → contains AnyDesk configuration
• It gets the value of the following registry entry:
  • HKEY_CURRENT_USER\{domain name}{username}{host name}\Niickname

マルウェアは、脆弱性を利用した感染活動を行いません。

<補足>
バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• 感染コンピュータ上で利用可能なすべてのドライブの一覧表示
• ファイルおよびディレクトリの一覧表示
• ファイル操作： ファイルの作成、削除、名前の変更、移動、コピー、実行
• ファイルのアップロード
• ファイルのダウンロード
• 任意のコマンド

情報漏えい

マルウェアは、以下の情報を収集します。

• オペレーティングシステム（OS）のバージョン
• ユーザ名
• ホスト名
• ドメイン名
• キー入力操作情報
• インストールされているウイルス対策製品の一覧
• ドライブの一覧
• ハードウェア（デバイス）情報
• ログイン情報
• システムの総稼働時間

その他

マルウェアは、以下を実行します。

• clr.dllにパッチを適用して、Amsi（マルウェア対策スキャンインターフェイス）スキャンを無効化します。
• 以下のブラウザ情報を収集します。
  • Chrome
  • Edge
  • Firefox
  • Brave
• 感染コンピュータ内でAnyDeskをセットアップするために以下の構成情報を使用します。
  • ad.anynet.pwd_hash={BLOCKED}77459d5c108877fd130a161d169ff2f143dffe914dd12bac71364aff65
  • ad.anynet.pwd_salt={BLOCKED}d5ec543ae481906af92eb0f694
• 感染コンピュータ内にAnyDeskがインストールされている場合、以下のディレクトリを作成します。
  • %Application Data%\AnyDesk
• 感染コンピュータ内にAnyDeskがインストールされている場合、以下のファイルを作成します。
  • %Application Data%\AnyDesk\service.conf → AnyDeskの構成情報を含む
• 以下のレジストリエントリの値を取得します。
  • HKEY_CURRENT_USER\{ドメイン名}{ユーザ名}{ホスト名}\Niickname