Backdoor.JS.EVILAI.YXFH3

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

バックドア活動

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• https://pdf-tool.{BLOCKED}tes.ai/api/s3/new
• https://sdk.{BLOCKED}tes.ai/api/s3/config
• https://pdf-tool.{BLOCKED}tes.ai/api/s3/validate
• https://sdk.{BLOCKED}tes.ai/api/s3/options
• https://log.{BLOCKED}tes.ai/api/s3/event
• https://on.{BLOCKED}tes.ai/api/s3/ping
• https://{BLOCKED}tes.ai/api/s3/remove

その他

マルウェアは、以下を実行します。

• It executes the following backdoor commands:
  • Read, write, delete, enumerate, or extract files.
  • Read, write, or delete registry entries
  • Download and execute files
  • Enumerate processes
  • Terminate processes
  • Execute processes
  • Execute arbitrary commands
• It can steal information from the following browsers:
  • Wave Browser
  • OneLaunch Browser
  • Shift Browser
• It can steal the following information from browsers:
  • Saved Credentials
  • Browser History
  • Cookies

マルウェアは、以下のパラメータを受け取ります。

• --c and --cm missing → initiates installation
• --c=0 → skips main backdoor routine and runs GUI if the file %User Profile%\PDF Editor\resources\app\w-electron\bin\release\mode.data exists
• --cm=--cleanup → unregisters machine from the server and deletes created scheduled tasks
• --cm=--partialupdate → read and modify browser configurations, executed by PDFEditorScheduledTask every 24 hours
• --cm=--fullupdate → read and modify browser configurations, triggered via registry autorun or manual execution
• --cm=--enableupdate → adds the autorun key PDFEditorUpdater with --cm=--fullupdate command line argument
• --cm=--disableupdate → removes the autorun key PDFEditorUpdater
• --cm=--backupupdate → maintains command and control server connectivity

(註：%User Profile%フォルダは、現在ログオンしているユーザのプロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞" です。)

以下のスケジュールされたタスクを追加します：

• Task Name: PDFEditorScheduledTask
  Description: PDFEditorScheduledTask
  Trigger: Once daily, every 1442 minutes
  Action: "%AppDataLocal%\Programs\PDFEditor\PDF Editor.exe" --cm=--partialupdate
• Task Name: PDFEditorUScheduledTask
  Description: PDFEditorUScheduledTask
  Action:: "%AppDataLocal%\Programs\PDFEditor\PDF Editor.exe" --cm=--backupupdate

(註：%AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)