Backdoor.Win32.EXPLORAT.A

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のフォルダを追加します。

• %Windows%\Web\sysHelp\
• %Windows%\Web\sysHelp\cpl
• %Windows%\Web\sysHelp\cpc

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

マルウェアは、以下のファイルを作成します。

• %Windows%\Web\canaccess.tmp
• %Windows%\Web\sysHelp\{username}.tc.ada

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

マルウェアは、以下のプロセスを追加します。

• cmd /c reg query "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion" /v ProductName
• cmd /c type "C:\Windows\web\canaccess.tmp"
• cmd /c del /q "C:\Windows\web\canaccess.tmp"

マルウェアは、感染コンピュータ上のメモリに以下のプロセスを確認すると、自身を終了します。

• OllyDbg
• PhantOm
• PEBrowse
• Xamarin
• Immunity

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• EOF – End of transmitted file
• EndTask – Terminate a specified process
• V – Kill explosive process and delete traces(?)
• K – Terminate explosive process
• R – Restart explosive process
• FileSend – Send a specified file
• CloseFile – Close a specified file
• OpenPF – Open a specified file
• RunCMD – Run a specified command line
• EnumKeys – Get the registry keys under a specified path
• EnumRootKeys – Get root registry keys
• GetRegValue – Get a specified registry value.
• Telnet – connect remotely
• Size – Get size of a specified file
• AddDir – Create a specified directory
• DelDir – create a specified directory
• ListProcess – List all running processes
• KillProcess – Terminate a specified process
• GetDrivesFolders – Get the content of a specific folder
• GetDrives – Get the drive list
• GetFiles – Send specific file to C&C
• ScShot – Get a screenshot
• DumpPass – Dump saved passwords
• DumpHist – Dump IE history
• KeyLog – get latest key logging file content
• ClipboardLog – get latest clipboard logging file content
• EnumWindows – List open windows
• DeleteFiles – Delete specified files
• CopyPasteFiles – copy and paste specified files
• CutPasteFiles – cut and paste specified file
• UnZip – decompress a specified file
• RenF – Rename file
• NTCommand – Run ReadSocket function from DLL module

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• {BLOCKED}.{BLOCKED}.30.40