Backdoor.Win32.GOLDENSPY.YPAH-A

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスを追加します。

• tskill.exe truck.exe

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• nb_app_log_mutex

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\IDG\
DA
UniqueID = {UID}

HKEY_LOCAL_MACHINE\SOFTWARE\IDG\
DA
InstallTime = {installation time}

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Download and execute arbitrary commands

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• http://www.{BLOCKED}idata.com:9006/softServer/req

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスして自身の環境設定ファイルをダウンロードします。

• http://www.{BLOCKED}idata.com:9006/download/truck.exe - uninstaller, detected as TROJ_GEN.R002C0PHG20

マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %User Temp%\truck.exe

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

情報漏えい

マルウェアは、以下の情報を収集します。

• OS version and Architecture
• Time Installed
• Malware Version
• UID
• System Locale Information

その他

マルウェアは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SOFTWARE
SVM =

HKEY_LOCAL_MACHINE\SOFTWARE\IDG
DA =

マルウェアは、以下を実行します。

• It will not proceed with its malicious routine if the filename is incorrect.
• It uses the following files to log its malicious activity:
  • {Malware Installation Path}\log\{date}-svm.log
  • {Malware Installation Path}\log\{date}-svmm.log
• It sends the following request to its CnC:
  • PROTOCOL_00
  • PROTOCOL_01
  • PROTOCOL_99 - download and execute truck.exe
    However, no response was received using the other protocols during analysis.
• It checks for the presence of the following registry keys:
  • HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\App Paths\fwkp.exe
    Path
  • HKEY_LOCAL_MACHINE\SOFTWARE\skfpkprj\skfpkprj
    installdir

マルウェアは、以下のパラメータを受け取ります。

• -test - check if the malware is installed as a service
• -console - perform malicious routine