Backdoor.JS.BOOSTRAT.A

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %AppData%\temp.txt → contains 8 random characters victim ID

マルウェアは、以下のフォルダを作成します。

• %User Temp%\{timestamp} → contains dropped files received from the C2 server

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
electron.app.Boost Note - Local = %AppDataLocal%\UltraWareUltraCore\boosten.exe

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Arbitrary JavaScript/Node.js code execution
• File drop and executable launch

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• https://{BLOCKED}spolicia.com/e702da9c5a58/o/

マルウェアは、コマンド＆コントロール（C&C）サーバに以下の情報を通知します。

• Randomly generated 8-character victim identifier
• Computer name
• Username
• Campaign identifier → read from {Malware File Path}\readme.txt

その他

マルウェアは、以下を実行します。

• It replaces the following console methods with non-operational functions to suppress all debug output:
  • console.log
  • console.warn
  • console.info
  • console.error
  • console.exception
  • console.table
  • console.trace
• It implements anti-debugging by executing a toString() recursion trap that uses Regular Expression Denial of Service pattern
• It can receive base64-encoded files from the C2 server, writes them to a timestamped folder in %User Temp%\{timestamp}\, and automatically executes any file with an .exe extension

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)