Backdoor.Win32.REMCOS.YABCR

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Application Data%\IDMComp\UltraEdit\autorec\SyncHost.exe

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

マルウェアは、以下のファイルを作成します。

• %User Temp%\Takeup
• %User Temp%\SpanielPolymorph.dll
• %User Temp%\{Random Characters}.lnk -> points to %Application Data%\IDMComp\UltraEdit\autorec\SyncHost.exe
• %Windows%\Tasks\SyncHost.job
• %Application Data%\remcos\logs.dat -> contains the stolen information

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。. %Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

マルウェアは、以下の無害なファイルを作成します。

• %User Temp%\releases\bot-trap\glimpse\delegates.xml
• %User Temp%\releases\bot-trap\glimpse\kbarticle.xml
• %User Temp%\releases\bot-trap\glimpse\x-cobol.xml
• %User Temp%\releases\bot-trap\glimpse\clstencilui.dll
• %User Temp%\releases\bot-trap\glimpse\sbsVsaVb7rt.dll
• %User Temp%\releases\bot-trap\glimpse\org.gnome.Logs.gschema.xml
• %User Temp%\magazine\arts\crtowordsde.dll
• %User Temp%\magazine\arts\dumpbin.exe
• %User Temp%\magazine\arts\vswebdesignedui.dll
• %User Temp%\m\remote-browser.xml
• %User Temp%\m\tcprops.dll
• %User Temp%\cv\24.opends60.dll
• %User Temp%\cv\sqlleUI.dll
• %User Temp%\cv\DbgUrtMnu.dll
• %User Temp%\cv\pgort80ui.dll
• %User Temp%\cv\spro5000.xml
• %User Temp%\cv\iptables-xml
• %User Temp%\cv\gif.xml
• %User Temp%\cv\ConmanClient2.exe
• %User Temp%\zoom\02\ConmanClient2.exe
• %User Temp%\zoom\02\x-pagemaker.xml

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

マルウェアは、以下のプロセスを追加します。

• %System%\rundll32.exe TubeHygrostat,Xerophytes
• "%System%\cmd.exe"

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• Mutex_RemWatchdog
• Remcos_Mutex_Inj

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Remcos-YAKX39
exepath = {Hex Values}

HKEY_CURRENT_USER\Software\Remcos-YAKX39
licence = {Hex Values}

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Open and Close Camera
• Download and Upload Files
• Enumerate Files
• Execute Files
• Delete Files
• Rename Files
• Change File Attributes
• Start and Stop Keylogger
• Retrieve and Clear login data and cookies from the following web browsers:
  • Google Chrome
  • Mozilla Firefox
  • Internet Explorer
• Play, Pause, and Stop an Alarm
• Play, Pause, Stop, and Record Audio
• Change Desktop Wallpaper
• Enumerate Running Processes
• Create and Terminate Processes
• Manage Registry Keys and Entries (Create, Enumerate, Modify, and Delete)
• Manage Services (Create, Enumerate, Modify, Start, Stop, and Delete)
• Create Image
• Save Image
• Screen Capture user's desktop
• Set, Copy, and Clear Clipboard Data
• Restarts the affected machine
• Sleeps the affected machine
• Logs off the affected machine
• Shutdown the affected machine
• Pop-up a Messagebox

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• veintiunoremco.{BLOCKED}s.org

情報漏えい

マルウェアは、以下の情報を収集します。

• Computer Name
• Username
• Windows Architecture (32-bit or 64-bit)
• Locale Info
• User Privileges (Admin or not)
• Clipboard Data
• Keyboard Input
• Mouse Activity
• User Keystrokes
• User Activity (Idle Time)
• Memory Information
• System Drive Information

その他

マルウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Remcos-YAKX39

マルウェアは、以下を実行します。

• This Backdoor changes the file attributes of its dropped file to Hidden

以下のスケジュールされたタスクを追加します：

• Name: SyncHost
  Trigger: After triggered, repeat every 00:04:00 for a duration of 1 day
  Action: Start a program %Application Data%\IDMComp\UltraEdit\autorec\SyncHost.exe

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)