Backdoor.MSIL.QUASAR.P

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。 マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Application Data%\Java\java.exe

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

マルウェアは、以下のプロセスを追加します。

• %Application Data%\Java\java.exe
• schtasks /create /tn "Java Client Startup" /sc ONLOGON /tr %Application Data%\Java\java.exe /rl HIGHEST /f

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

マルウェアは、以下のフォルダを作成します。

• %Application Data%\Java\

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• Local\aeed8d2a-e9e5-41aa-8bf5-368505b65ec2

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Update Self
• Uninstall Self
• Manage Files/Directories (Create, Delete, Upload, Download, Execute, List Drives, etc.)
• Manage Registry (Edit, Query, etc.)
• Manage Processes (Start, Stop, List Processes)
• Manage StartupItems (Add, Remove, List)
• System Power Commands (Shutdown, Restart, Standby/Suspend)
• Remote Desktop (Control Mouse or Keyboard, View Desktop, List Monitors)
• Remote Shells (Execute Arbitrary Shell Commands)
• Reverse Proxy
• Gather System Information:
  • Processor Info (CPU)
  • Memory Info (RAM)
  • Video Card Info (GPU)
  • Username
  • Computer Name
  • Domain Name
  • Host Name
  • System Drive
  • System Directory
  • Uptime
  • MAC Address
  • Local IP Address
  • Public IP Address
  • Antivirus
  • Firewall
  • Timezone
  • Country
• Gather Credentials from Applications:
  • Common Browsers:
    • Chrome
    • Firefox
    • Internet Explorer
    • Opera
    • Yandex
  • Ftp Clients:
    • FileZilla
    • WinScp
• Take Screenshot
• Send Keylogger Data
• Visit Websites

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• {BLOCKED}.{BLOCKED}.112.149:1337

その他

以下のスケジュールされたタスクを追加します：

• Task Name: Java Client Startup
  Trigger: Logon of any user
  Task to be run: %Application Data%\Java\java.exe

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)