Backdoor.MSIL.REMCOS.AOJ

マルウェアは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。 マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

侵入方法

マルウェアは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %User Profile%\OEM\systeminfo.exe

(註：%User Profile%フォルダは、現在ログオンしているユーザのプロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞" です。)

マルウェアは、以下のファイルを作成します。

• %Application Data%\remcos\logs.dat -> record of user's activities/keylogs

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

マルウェアは、以下のプロセスを追加します。

• {malware path and file name}
• %Program Files%\Internet Explorer\iexplore.exe

(註：%Program Files%フォルダは、デフォルトのプログラムファイルフォルダです。C:\Program Files in Windows 2000(32-bit)、Server 2003(32-bit)、XP、Vista(64-bit)、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files"です。また、Windows XP(64-bit)、Vista(64-bit)、7(64-bit)、8(64-bit)、8.1(64-bit)、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files（x86）" です。)

マルウェアは、以下のフォルダを作成します。

• %Application Data%\remcos
• %User Profile%\OEM

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。. %User Profile%フォルダは、現在ログオンしているユーザのプロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞" です。)

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• Remcos_Mutex_Inj
• Remcos-{random}

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows NT\CurrentVersion\Windows
Load = "%User Profile%\OEM\systeminfo.exe"

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Remcos-{random}

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\remcos_{Random}
exepath = {hex values}

HKEY_CURRENT_USER\Software\Remcos-{random}
licence = {random}

HKEY_CURRENT_USER\Software\Remcos-{random}
Inj = 1

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Activate keylogger
• Capture audio, or stop capture
• Capture screen
• Change desktop wallpaper
• Change, pause, stop, or start a service
• Clear browser hisotry
• Close a window
• Close affected system's camera
• Close connection
• Connect to a specified server
• Control affected system's camera
• Deactive keylogger
• Delete registry key/entry
• Enumerate registry key/entry
• Modify/add registry entry
• Delete file or directory
• Download a file
• Read a file
• Save a file
• Upload a file
• Empty clipboard data
• Execute a command
• Get active program's window title
• Get clipboard data
• Get process ID of a window
• Get system information
• Hide or show a window
• List files in specified directory
• List installed applications
• List keyboard information
• List running processes
• List windows
• Log off, restart, or shut down the affected system
• Modify a window
• Play an audio in the affected system
• Restart itself
• Show message box
• Terminate a process
• Terminate itself
• Uninstall itself
• Update itself

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• rennelautos.{BLOCKED}w.com:2404
• rennelautos.{BLOCKED}o.org:2404
• kellyben.{BLOCKED}o.org:2404
• jkharding2014.{BLOCKED}s.net:2404
• sunwap878.{BLOCKED}s.net:2404
• sunwap878.{BLOCKED}u.net:2404
• jessen.{BLOCKED}o.org:2404
• jessen.{BLOCKED}s.rocks:2404