Backdoor.Win32.AUTHSTEALER.A

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %Windows%\cmdacoBin\RE[B]Ell.bat → used to execute arbitrary commands from a remote malicious user
• %Windows%\cmdacoBin\leet.bat → contains the credentials used to access RE[B]Ell.bat

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

マルウェアは、以下のファイルを作成し実行します。

• %Windows%\cmdacoBin\registery.reg → used to enable the automatic execution of RE[B]Ell.bat when Shift key is pressed 5 times

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

マルウェアは、以下のプロセスを追加します。

• "regedit.exe" "%Windows%\cmdacoBin\registery.reg"

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\WinRAR SFX
C%%Windows%cmdacoBin = "%Windows%\cmdacoBin"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Image File Execution Options\
sethc.exe
Debugger = %Windows%\cmdacoBin\RE[B]Ell.bat

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Execute Arbitrary Commands
• cls → clears console screen
• home → changes current directory to %User Profile%
• win → changes current directory to %System%
• desktop → changes current directory to %Desktop%
• red → changes current font color to red
• green → changes current font color to green
• normal → changes current font color to white

(註：%User Profile%フォルダは、現在ログオンしているユーザのプロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞" です。. %System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.. %Desktop%フォルダは、現在ログオンしているユーザのデスクトップです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Desktop" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\Desktop" です。)

その他

マルウェアは、以下を実行します。

• If a remote malicious user will press the SHIFT key 5 times in the Windows Login Screen, a window asking for credentials will pop up.
  
• Using the credentials stored in leet.bat, a remote malicious user can access the features of RE[B]Ell.bat which allows it to execute malicious commands without having to login from the infected machine