Backdoor.MSIL.SOLMYR.B

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のフォルダを追加します。

• %Application Data%\wbnh

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

マルウェアは、以下のファイルを作成します。

• %Application Data%\wbnh\wbnh.exe
• %User Profile%\appData\Local:{Current Date}

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。. %User Profile%フォルダは、現在ログオンしているユーザのプロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞" です。)

マルウェアは、以下のプロセスを追加します。

• "{Malware Path}\{Malware File Name}.exe"
• "cmd" /c mkdir "%Application Data%\wbnh"
• "cmd" /c schtasks /create /sc minute /mo 1 /tn "Nafifas" /tr "'%Application Data%\wbnh\wbnh.exe'" /f
• "cmd" /c copy "{Malware Path}\{Malware File Name}.exe" "%Application Data%\wbnh\wbnh.exe"
• schtasks /create /sc minute /mo 1 /tn "Nafifas" /tr "'%Application Data%\wbnh\wbnh.exe'" /f

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Download and execute file
• Execute malicious code in to the memory
• Execute XMR miner
• Access webcam & microphone
• Manage Files (Delete, Compress, Search)

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• {BLOCKED}.{BLOCKED}.28.92:3569

情報漏えい

マルウェアは、以下の情報を収集します。

• System Information
• Product Information
• Clipboard Data
• Keyboard Input

その他

マルウェアは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Control\MediaResources

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Control\MediaResources\msvideo

HKEY_LOCAL_MACHINE\SOFTWaRE\Microsoft\
DownloadManager

マルウェアは、以下を実行します。

• It creates the following scheduled task:
  • Name: Nafifas
  • Trigger: After triggered, repeat every 00:01:00 indefinitely
  • Action: %Application Data%\wbnh\wbnh.exe

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

マルウェアは、以下のパラメータを受け取ります。

• -fwa
• -tsc
• -prs → Establish persistency
• -uac → Privilege escalation
• -wdkill → Disables Windows Defender

<補足>
バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• ファイルのダウンロードおよび実行
• メモリ内での不正コードの実行
• XMRマイナーの実行
• Webカメラおよびマイクロフォンへのアクセス
• ファイルの管理 （削除、圧縮、検索）

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• {BLOCKED}.{BLOCKED}.28.92:3569

情報漏えい

マルウェアは、以下の情報を収集します。

• システム情報
• 製品情報
• クリップボードのデータ
• キー入力操作情報

その他

マルウェアは、以下のスケジュールタスクを作成します。

• タスク名: Nafifas
• トリガ: トリガ後、00:01:00毎に無期限に繰り返す
• タスクアクション: %Application Data%\wbnh\wbnh.exe

マルウェアは、以下のパラメータを受け取ります。

• -fwa
• -tsc
• -prs → 永続性の確立
• -uac → 権限昇格
• -wdkill → Windows Defenderの無効化