Backdoor.PS1.ASYNCRAT.N

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、ユーザのキー入力操作情報を記録し、情報を収集します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %User Temp%\Log.tmp → contains key logs

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• AsccMutexxxxxssmm1_{random}

バックドア活動

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• {BLOCKED}.{BLOCKED}.{BLOCKED}.15
• {BLOCKED}aupload.co
• {BLOCKED}upload.co
• {BLOCKED}.{BLOCKED}.{BLOCKED}.19
• {BLOCKED}c.serveftp.net
• {BLOCKED}ic236922.serveftp.net

情報漏えい

マルウェアは、以下の情報を収集します。

• HWID = Hardware Identifiers
• User = Username
• OS = OS Information
• Path = Path of the malware
• Admin = If the malware is running with Admin Access
• Performance = Current Active Window
• Antivirus = Antivirus applications in the system
• If the following cryptocurrency wallet and 2FA browser extensions exist in the affected system:
  • Firefox
  • MetaMask
  • Google Chrome
  • Authenticator
  • Binance (BEW Lite)
  • BitKeep (BitGet Wallet)
  • BitPay
  • Coinbase
  • Exodus (TronLink)
  • MetaMask
  • Phantom
  • Ronin
  • Trust
  • Brave
  • Authenticator
  • MetaMask
  • Phantom
  • Edge
  • Authenticator
  • Binance
  • MetaMask
• If the following cryptocurrency applications exist in the affected system:
  • Atomic
  • Binance
  • Bitcoin
  • Coinomi
  • Electrum
  • ErgoWallet
  • Exodus
  • Ledger Live
• LastTime = Last activity time of the affected system

マルウェアは、ユーザのキー入力操作情報を記録し、情報を収集します。

その他

マルウェアは、以下を実行します。

• It decrypts and executes an MSIL DLL loader directly in memory.
• It checks for the existence of the following files but displays a fake error regardless of whether they exist:
  • %Program Files%\AVG\Antivirus\AVGUI.exe
  • %Program Files%\Avast Software\Avast\AvastUI.exe
• It executes the following file and injects malicious code from an embedded MSIL EXE payload into the newly created process:
  • %Windows%\Microsoft.NET\Framework\{version}\{random exe file}

(註：%Program Files%フォルダは、デフォルトのプログラムファイルフォルダです。C:\Program Files in Windows 2000(32-bit)、Server 2003(32-bit)、XP、Vista(64-bit)、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files"です。また、Windows XP(64-bit)、Vista(64-bit)、7(64-bit)、8(64-bit)、8.1(64-bit)、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files（x86）" です。. %Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)