Backdoor.MSIL.ASYNCRAT.YXFGTZ

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。 ただし、情報公開日現在、このWebサイトにはアクセスできません。

マルウェアは、感染コンピュータ上の特定の情報を収集します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %Application Data%\System.exe → Copy of itself
• %User Temp%\tmp{4 Random Characters}.tmp.bat → Used to execute %Application Data%\System.exe and deletes itself

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。. %User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

マルウェアは、以下のプロセスを追加します。

• "%System%\cmd.exe" /c schtasks /create /f /sc onlogon /rl highest /tn "System" /tr '"%Application Data%\System.exe"' & exit → Created a scheduled task to execute its copy on startup, only executed when the process is run with Administrative privileges
• %User Temp%\tmp{4 Random Characters}.tmp.bat
• %Application Data%\System.exe

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。. %User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• AsyncMutex_6SI8OkPnk

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
System = %Application Data%\System.exe → Only added if the process is executed normally

他のシステム変更

マルウェアは、以下のファイルを削除します。

• %Application Data%\System.exe
• %User Temp%\tmp{4 Random Characters}.tmp.bat

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。. %User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• ResetHosts → Replaces %System%\drivers\etc\hosts with %System%\drivers\etc\hosts.backup if the backup file exists and returns success result status
• weburl → Downloads a file as %User Temp%\tmp{Random}.tmp.{String from C2 server} and executes it
• ResetScale → Resets DPI settings and sends out a success message
• pong → Ping test with the C2 server
• klget → Sends the key logs and the hashed HWID
• Block → Copies %System%\drivers\etc\hosts as %System%\drivers\etc\hosts.backup if the backup file does not exist, appends "127.0.0.1 {String from C2 Server}" to %System%\drivers\etc\hosts, and adds the process "cmd.exe /c taskkill.exe /im chrome.exe /f."
• killps → Terminates processes specified by the C2 server
• savePlugin → Creates registry key HKEY_CURRENT_USER\Software\{Hashed HWID}\{Identifier} with its value set to the loaded DLL in bytes and executes a plugin from the C2 server
• setxt → Clears or sets the value of clipboard data depending on the value received from the C2 server
• gettxt → Extracts the clipboard data and sends it to the C2 server
• plugin → Executes a plugin from the C2 server if the registry entry HKEY_CURRENT_USER\Software\{Hashed HWID}\{Identifier} does not exist, otherwise it retrieves and executes the value of the said registry
• getscreen, uacoff, WDExclusion, KillProxy, Net35, Avast, anydesk, backproxy → Executes a plugin from the C2 server and returns result status
• Chrome, passload, Wallets, Fox, DicordTokens, WebBrowserPass → Sends the hashed HWID, executes a plugin from the C2 server, and returns result status

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.. %User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• tcp://nightmare15.{BLOCKED}led.net
• tcp://lastofdr51.{BLOCKED}e.org

ただし、情報公開日現在、このWebサイトにはアクセスできません。

情報漏えい

マルウェアは、感染コンピュータ上の以下の情報を収集します。

• HWID = Hashed value of number of processor, username, machine name, OS version, OS architecture (32-bit or 64-bit), and total size of %System% directory
• User = User Name
• OS = Version and architecture of the operating system
• Path = Malware file path
• Admin = If malware is executed with Administrative privileges
• Performance = Current active window
• Antivirus = List of antivirus installed in the affected system
• LastTime = Last activity time of the affected system
• If the following cryptocurrency wallet and 2FA browser extensions exists in the affected system:
  • Brave
  • Authenticator
  • MetaMask
  • Phantom
  • Google Chrome
  • Authenticator
  • Binance
  • BitKeep
  • BitPay
  • CoinKeep
  • Exodus
  • MetaMask
  • Ronin
  • TronLink
  • Trust Wallet
  • Phantom
  • Microsoft Edge
  • Authenticator
  • Binance
  • MetaMask
  • Mozilla Firefox
  • MetaMask
  • Opera
  • MetaMask
  • Opera GX
  • MetaMask
• If the following cryptocurrency applications are installed in the affected system:
  • Ergo Wallet
  • Ledger Live
  • Atomic
  • Exodus
  • Electrum
  • Coinomi
  • Binance
  • Bitcoin Core

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

その他

マルウェアは、以下を実行します。

• If the malware is executed with Administrator privileges, it adds the following process:
  • "%System%\cmd.exe" /c schtasks /create /f /sc onlogon /rl highest /tn "System" /tr '"%Application Data%\System.exe"' & exit → Created a scheduled task to execute its copy on startup
• If the malware is not executed with Administrator privileges, It adds the following registry entry to enable its automatic execution at every system startup:
  • HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
  • System = %Application Data%\System.exe
• It prevents the system from sleeping.

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

以下のスケジュールされたタスクを追加します：

• If the malware is executed with Administrative privileges:
  • Name: System
  • Trigger: Runs every time any user logs on
  • Action: "%Application Data%\System.exe"

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)