Backdoor.MSIL.MULTIRAT.A

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。 マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %TEMP%\{9 random characters}.ocx → a clean Microsoft DUI70.dll carried as embedded data and dropped to act as the sideload host for a follow-on hijack chain
• %APPDATA%\{host_process_image_name} → Stage 4 .NET payload written to disk for persistence

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• Tpigja

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Beacon refresh → Resends victim information
• On-demand screenshot
• Browser credential / cookie / autofill / history theft
• Cryptocurrency wallet browser extension theft
• Local desktop wallet theft
• Foxmail + Telegram Desktop session theft
• Configuration update / C2 rotation
• Persistence reinforcement / re-drop
• Webcam enumeration
• Module staging (arbitrary operator payload)

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• http://152.89.{BLOCKED}4.113:56001
• http://152.89.{BLOCKED}4.113:56002
• http://152.89.{BLOCKED}4.113:56003

マルウェアは、コマンド＆コントロール（C&C）サーバに以下の情報を通知します。

• Machine identifier
• Operating system caption
• CPU identifier
• Physical memory total
• Disk serial number
• Installed antivirus product
• Current user / hostname
• Current image path
• Remote IP and port in use
• Uptime
• Primary-display screenshot
• Camera / imaging device inventory

情報漏えい

マルウェアは、以下の情報を収集します。

• Cryptocurrency wallet seed phrases, private keys, and saved password material from 48 browser-extension wallets and 2FA authenticators:
  • MetaMask (nkbihfbeogaeaoehlefnkodbefgpgknn)
  • TronLink (ibnejdfjmmkpcnlpebklmnkoeoihofec)
  • Binance Chain Wallet (fhbohimaelbohpjbbldcngcnapndodjp)
  • Phantom (bfnaelmomeimhlpmgjnjophhpkkoljpa)
  • Coinbase Wallet (hnfanknocfeofbddgcijnmhnfnkdnaad)
  • Trust Wallet (egjidjbpglichdcondbcbdnbeeppgdph)
  • Jaxx Liberty (cjelfplplebdjjenllpjcblmjkfcffne)
  • Yoroi (ffnbelfdoeiohenkjibnmadjiehjhajb)
  • BitApp Wallet (fihkakfobkmkjojpchpfgcmhfjnmnfpi)
  • iWallet (kncchdigobghenbbaddojjnnaogfppfj)
  • Terra Station (aiifbnbfobpmeekipheeijimdpnlpgpp)
  • BitClip (ijmpgkjfkbfhoebgogflfebnmejmfbml)
  • EQUAL Wallet (blnieiiffboillknjnepogjhkgnoapac)
  • Wombat (amkmjjmmflddogmhpjloimipbofnfjih)
  • Nifty Wallet (jbdaocneiiinmjbjlgalhcelgbejmnid)
  • Math Wallet (afbcbjpbpfadlkmhmclhkeeodmamcflc)
  • Guarda (hpglfhgfnhbgpjdenjgmdgoeiappafln)
  • Coin98 Wallet (aeachknmefphepccionboohckonoeemg)
  • Trezor Password Manager (imloifkgjagghnncjkhggdhalmcnfklk)
  • EOS Authenticator (oeljdldpnmdbchonielidgobddffflal)
  • Authy (gaedmjdfmmahhbjefcbgaolhhanlaolb)
  • GAuth Authenticator (ilgcnhelpchnceeipipijaljkblbcobl)
  • Authenticator (bhghoamapcdpbohphigoooaddinpkbai)
  • TezBox (mnfifefkajgofkcjkemidiaecocnkjeh)
  • Cyano Wallet (dkdedlpgdmmkkfjabffeganieamfklkm)
  • Exodus Web3 (aholpfdialjgjfhomihkjbmgjidlcdno)
  • BitKeep (jiidiaalihmmhddjgbnbgdfflelocpak)
  • MOBOX WALLET (fcckkdbjnoikooededlapcalpionmalo)
  • XDCPay (bocpokimicclpaiekenaeelehdjllofo)
  • ICONex (flpiciilemghbmfalicajoolhkkenfel)
  • Solana Wallet (hfljlochmlccoobkbcgpmkpjagogcgpk)
  • Swash (cmndjbecilbocjfkibfbifhngkdmjgog)
  • Finnie (cjmkndjhnagcfbpiemnkdpomccnjblmj)
  • Keplr (dmkamcknogkgcdfhhbddcghachkejeap)
  • Liquality Wallet (kpfopkelmapcoipemfendmdcghnegimn)
  • Rabet (hgmoaheomcjnaheggkfafnjilfcefbmo)
  • Ronin Wallet (fnjhmkhhmkbjkkabndcnnogagogbneec)
  • ZilPay (klnaejjgbibmhlephnhpmaofohgkpgkd)
  • XDEFI Wallet (ejbalbakoplchlghecdalmeeeajnimhm)
  • XDEFI Wallet (hmeobnfnfcmdkdcmlblgagmfpfboieaf)
  • Exodus Web3 (ghocjofkdpicneaokfekohclmkfmepbp)
  • Trust Wallet (heaomjafhiehddpnmncmhhpjaloainkn)
  • Braavos Smart Wallet (hkkpjehhcnhgefhbdcgfkeegglpjchdc)
  • Braavos Smart Wallet (akoiaibnepcedcplijmiamnaigbepmcb)
  • MetaMask (djclckkglechooblngghdinmeemkbgci)
  • Guarda Wallet (acdamagkdfmpkclpoglgnbddngblgibo)
  • Guarda Wallet (okejhknhopdbemmfefjglkdfdhpfmflg)
  • Waves Keeper (mijjdbgpgbflkaooedaemnlciddmamai)
• Browser-stored credentials, saved passwords, cookies, and autofill data from 30+ Chromium-family browser profiles:
  • Chromium
  • Google Chrome (Standard and (x86) paths)
  • Microsoft Edge
  • Brave (BraveSoftware)
  • Tencent QQBrowser
  • ChromePlus
  • Iridium
  • 7Star
  • CentBrowser
  • Chedot
  • Vivaldi
  • Kometa
  • Elements Browser
  • Epic Privacy Browser
  • Uran (uCozMedia)
  • Sleipnir5 (Fenrir Inc)
  • Citrio (CatalinaGroup)
  • Coowon
  • liebao
  • QIP Surf
  • Orbitum
  • Comodo Dragon
  • Amigo
  • Torch
  • Comodo (base)
  • 360Browser
  • Maxthon3
  • K-Melon
  • Sputnik
  • Nichrome
  • CocCoc
  • Chromodo
  • Mail.Ru Atom
• Local desktop wallet files:
  • Bitcoin-Qt
  • Litecoin-Qt
  • Dash-Qt
  • Zcash
  • Ethereum
  • Electrum
  • Exodus
  • Jaxx Liberty
  • Atomic Wallet
  • Ledger Live
• Data from email and communication clients:
  • Foxmail (profile data)
  • Telegram Desktop (session data)
• Real-time JPEG screenshots of the primary display
• Victim machine identity, operating system version, CPU model, physical memory, disk serial number, antivirus product name, user name, hostname, current image path
• Webcam and imaging-device inventory (PnP enumeration, enabling subsequent capture commands)

その他

マルウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software
{32-char hex machine ID} =

マルウェアは、以下を実行します。

• Multi-stage in-memory unpacking → The four execution stages (Stage 1 native loader → Stage 2 OCX-resident shellcode → Stage 3 .NET intermediate loader → Stage 4 .NET RAT) reduce on-disk evidence to a single sub-20 KB DLL. Stages 3 and 4 are never written to disk during normal operation.
• Anti-virtualization → Stage 1 enforces a WMI display-refresh-rate gate that traps execution inside a Sleep polling loop on most virtualized hosts
• Hidden self-restart → Unhandled exceptions cause the .NET payload to re-launch its own image with CreateNoWindow=true, WindowStyle=Hidden, then exit the failing process cleanly.
• The sample is engineered to be sideloaded by a legitimate component of Qihoo 360 Total Security and requires an environment where Qihoo 360 Total Security is installed in order for it to proceed with its intended routine.

以下のスケジュールされたタスクを追加します：

• Task Name: {host_process_image_name}
  Action: New-ScheduledTaskAction -Execute %APPDATA%\{host_process_image_name}'
  Trigger: -Once -At (Get-Date) -RepetitionInterval (New-TimeSpan -Minutes 5)
  User: $env:UserName -RunLevel Highest
  Settings: -ExecutionTimeLimit (New-TimeSpan -Seconds 0)
  -AllowStartIfOnBatteries -DontStopIfGoingOnBatteries

<補足>
インストール

マルウェアは、以下のファイルを作成します。

• %TEMP%\{ランダムな9文字}.ocx → 正規のMicrosoft DUI70.dllを埋め込みデータとして持ち込み、後続のハイジャックチェーンのサイドロードホストとして機能させるために作成される
• %APPDATA%\{感染コンピュータ上で実行中のプロセスパス} → 不正活動を永続化させるために第四段階のペイロード（.NET）をディスクに書き込む

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Beacon refresh → 感染コンピュータに関する情報の再送信
• スクリーンショットの撮影（要求に応じて）
• ブラウザの認証情報 / cookie / 自動入力（オートフィル） / 閲覧履歴の窃取
• 暗号資産（仮想通貨）ウォレット用ブラウザ拡張機能からの情報窃取
• 感染コンピュータ上のデスクトップ版ウォレットからの情報窃取
• Foxmail + Telegram desktopのセッションの窃取
• 設定の更新 / C&Cサーバのローテーション
• 永続化の強化 / 再作成
• Webカメラの列挙
• 追加モジュールの展開（オペレータから受信した任意のペイロード）

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• http://152.89.{BLOCKED}4.113:56001
• http://152.89.{BLOCKED}4.113:56002
• http://152.89.{BLOCKED}4.113:56003

マルウェアは、コマンド＆コントロール（C&C）サーバに以下の情報を通知します。

• コンピュータ識別子
• オペレーティングシステム（OS）に関する情報
• CPU識別子
• 物理メモリの総容量
• ディスクのシリアル番号
• インストールされているウイルス対策製品
• 現在ログインしているユーザ名 / ホスト名
• 実行中のプロセスパス
• 使用中のリモートIPアドレスおよびポート
• 感染コンピュータの稼働時間
• メインディスプレイのスクリーンショット
• 搭載されているカメラ / 映像機器の一覧

情報漏えい

マルウェアは、以下の情報を収集します。

• 下記ブラウザ拡張機能ウォレットおよび二要素認証アプリ（計48種類）から、暗号資産ウォレットのシードフレーズ、秘密鍵、保存されたパスワード情報を収集します。
  • MetaMask (nkbihfbeogaeaoehlefnkodbefgpgknn)
  • TronLink (ibnejdfjmmkpcnlpebklmnkoeoihofec)
  • Binance Chain Wallet (fhbohimaelbohpjbbldcngcnapndodjp)
  • Phantom (bfnaelmomeimhlpmgjnjophhpkkoljpa)
  • Coinbase Wallet (hnfanknocfeofbddgcijnmhnfnkdnaad)
  • Trust Wallet (egjidjbpglichdcondbcbdnbeeppgdph)
  • Jaxx Liberty (cjelfplplebdjjenllpjcblmjkfcffne)
  • Yoroi (ffnbelfdoeiohenkjibnmadjiehjhajb)
  • BitApp Wallet (fihkakfobkmkjojpchpfgcmhfjnmnfpi)
  • iWallet (kncchdigobghenbbaddojjnnaogfppfj)
  • Terra Station (aiifbnbfobpmeekipheeijimdpnlpgpp)
  • BitClip (ijmpgkjfkbfhoebgogflfebnmejmfbml)
  • EQUAL Wallet (blnieiiffboillknjnepogjhkgnoapac)
  • Wombat (amkmjjmmflddogmhpjloimipbofnfjih)
  • Nifty Wallet (jbdaocneiiinmjbjlgalhcelgbejmnid)
  • Math Wallet (afbcbjpbpfadlkmhmclhkeeodmamcflc)
  • Guarda (hpglfhgfnhbgpjdenjgmdgoeiappafln)
  • Coin98 Wallet (aeachknmefphepccionboohckonoeemg)
  • Trezor Password Manager (imloifkgjagghnncjkhggdhalmcnfklk)
  • EOS Authenticator (oeljdldpnmdbchonielidgobddffflal)
  • Authy (gaedmjdfmmahhbjefcbgaolhhanlaolb)
  • GAuth Authenticator (ilgcnhelpchnceeipipijaljkblbcobl)
  • Authenticator (bhghoamapcdpbohphigoooaddinpkbai)
  • TezBox (mnfifefkajgofkcjkemidiaecocnkjeh)
  • Cyano Wallet (dkdedlpgdmmkkfjabffeganieamfklkm)
  • Exodus Web3 (aholpfdialjgjfhomihkjbmgjidlcdno)
  • BitKeep (jiidiaalihmmhddjgbnbgdfflelocpak)
  • MOBOX WALLET (fcckkdbjnoikooededlapcalpionmalo)
  • XDCPay (bocpokimicclpaiekenaeelehdjllofo)
  • ICONex (flpiciilemghbmfalicajoolhkkenfel)
  • Solana Wallet (hfljlochmlccoobkbcgpmkpjagogcgpk)
  • Swash (cmndjbecilbocjfkibfbifhngkdmjgog)
  • Finnie (cjmkndjhnagcfbpiemnkdpomccnjblmj)
  • Keplr (dmkamcknogkgcdfhhbddcghachkejeap)
  • Liquality Wallet (kpfopkelmapcoipemfendmdcghnegimn)
  • Rabet (hgmoaheomcjnaheggkfafnjilfcefbmo)
  • Ronin Wallet (fnjhmkhhmkbjkkabndcnnogagogbneec)
  • ZilPay (klnaejjgbibmhlephnhpmaofohgkpgkd)
  • XDEFI Wallet (ejbalbakoplchlghecdalmeeeajnimhm)
  • XDEFI Wallet (hmeobnfnfcmdkdcmlblgagmfpfboieaf)
  • Exodus Web3 (ghocjofkdpicneaokfekohclmkfmepbp)
  • Trust Wallet (heaomjafhiehddpnmncmhhpjaloainkn)
  • Braavos Smart Wallet (hkkpjehhcnhgefhbdcgfkeegglpjchdc)
  • Braavos Smart Wallet (akoiaibnepcedcplijmiamnaigbepmcb)
  • MetaMask (djclckkglechooblngghdinmeemkbgci)
  • Guarda Wallet (acdamagkdfmpkclpoglgnbddngblgibo)
  • Guarda Wallet (okejhknhopdbemmfefjglkdfdhpfmflg)
  • Waves Keeper (mijjdbgpgbflkaooedaemnlciddmamai)
• 30種類以上のChromium系ブラウザプロファイルから、ブラウザに保存された認証情報やパスワード、Cookie、および自動入力（オートフィル）データを収集します。
  • Chromium
  • Google Chrome (Standard and (x86) paths)
  • Microsoft Edge
  • Brave (BraveSoftware)
  • Tencent QQBrowser
  • ChromePlus
  • Iridium
  • 7Star
  • CentBrowser
  • Chedot
  • Vivaldi
  • Kometa
  • Elements Browser
  • Epic Privacy Browser
  • Uran (uCozMedia)
  • Sleipnir5 (Fenrir Inc)
  • Citrio (CatalinaGroup)
  • Coowon
  • liebao
  • QIP Surf
  • Orbitum
  • Comodo Dragon
  • Amigo
  • Torch
  • Comodo (base)
  • 360Browser
  • Maxthon3
  • K-Melon
  • Sputnik
  • Nichrome
  • CocCoc
  • Chromodo
  • Mail.Ru Atom
• 感染コンピュータ内のデスクトップ版ウォレットに関わるファイル
  • Bitcoin-Qt
  • Litecoin-Qt
  • Dash-Qt
  • Zcash
  • Ethereum
  • Electrum
  • Exodus
  • Jaxx Liberty
  • Atomic Wallet
  • Ledger Live
• メールおよびメッセージアプリからデータを収集します。
  • Foxmail （プロファイルデータ）
  • Telegramデスクトップ版（セッションデータ）
• メインディスプレイのスクリーンショット（拡張子JPEG）のリアルタイム配信
• 感染コンピュータに関する識別情報、OSのバージョン、CPUモデル、物理メモリ、ディスクのシリアル番号、インストールされているウイルス対策製品名、ユーザ名、ホスト名、実行中のプロセスパス
• Webカメラおよび映像機器の一覧（PnPの列挙、後続のキャプチャコマンドの有効化）

その他

マルウェアは、以下を実行します。

• 多段階処理によるメモリ内展開 → 四段階の実行処理（第一段階のネイティブローダ → 第二段階のOCX常駐シェルコード → 第三段階の中継ローダ（.NET） → 第四段階の不正遠隔操作ツール（.NET） ）により、ディスク上に残る痕跡が20KB未満の単一DLLに抑えられています。通常の運用においては、第三、第四段階のペイロードがディスクに書き込まれることはありません。
• 仮想環境妨害機能 → 第一段階において、WMI経由でディスプレイのリフレッシュレートレートを確認する検証ゲートを強制的に適用します。これにより、多くの仮想環境上で実行中のプロセスがスリープ状態のポーリングループ内に閉じ込められます。
• 非表示の状態で自身の再起動 → 未処理の例外が発生した際にペイロード（.NET ）は、ウインドウの非表示設定（CreateNoWindow=true、WindowStyle=Hidden）を指定して自身のプロセスを再起動し、例外を発生させた元のプロセスを終了します。
• Qihoo 360 Total Securityの正規コンポーネントによってサイドロードされるように設計されています。マルウェアが意図した不正活動を実行するためには、Qihoo 360 Total Securityのインストールされている環境が必要です。

以下のスケジュールされたタスクを追加します：

• タスク名: {ホストプロセスのイメージ名}
  アクション: New-ScheduledTaskAction -Execute %APPDATA%\{感染コンピュータ上で実行中のプロセスパス}'
  トリガ: -Once -At (Get-Date) -RepetitionInterval (New-TimeSpan -Minutes 5)
  ユーザ: $env:UserName -RunLevel Highest
  設定: -ExecutionTimeLimit (New-TimeSpan -Seconds 0)
  -AllowStartIfOnBatteries -DontStopIfGoingOnBatteries