Backdoor.Win32.REMCOS.USMANEAGHD

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %Temp%\install.vbs
• %Application Data%\chrome.exe
• %Application Data%\logs.dat → contains the information stolen from the victim

(註：%Temp%フォルダは、一時的にファイルが保存されるフォルダで、いずれのオペレーティングシステム(OS)でも通常、 "C:\Windows\Temp" です。.. %Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

マルウェアは、以下のプロセスを追加します。

• %Temp%\install.vbs
• %Application Data%\chrome.exe

(註：%Temp%フォルダは、一時的にファイルが保存されるフォルダで、いずれのオペレーティングシステム(OS)でも通常、 "C:\Windows\Temp" です。.. %Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• Remcos_Mutex_Inj
• Mutex_RemWatchdog

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
localhost = %Application Data%\chrome.exe

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Remcos-RMYCW3
exepath = {Hex Values}

HKEY_CURRENT_USER\Software\Remcos-RMYCW3
licence = 6A6428FC114F6C524B8F361E81AEDEAC

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Activate Keylogger
• Capture Image
• Copy and paste text to and from clipboard
• Download Files
• Ping an address
• Send keyboard/mouse input
• Open the command prompt
• Open the event viewer
• Execute shell commands
• Execute files
• Browse directories
• Obtain file/directory attributes
• Change victim's Wallpaper
• Upload files
• Rename files
• Delete files
• Delete Directories
• Get screenshot
• Terminate processes
• Play/record audio
• Copy and paste text to and from clipboard
• Clear Browser login and cookies
• Perform registry changes
• Play alarm
• Display a messagebox
• Sends keyboard input
• Sends mouse click
• Retrieve logins and cookies from the following browsers:
  • Google Chrome
  • Mozilla Firefox
  • Internet Explorer

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• {BLOCKED}.{BLOCKED}.140.185:1990

情報漏えい

マルウェアは、以下の情報を収集します。

• Computer name
• User name
• Home drive
• Logon server
• Processor architecture
• Windows version
• System type (x64, x86)
• User access (if admin or not)
• Memory information
• Browser logins and cookies
• User keystrokes
• Session name
• User profile
• User domain
• Idle time of the user (in minutes)

その他

マルウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Remcos-RMYCW3