Backdoor.Win32.SDBBOT.AA.tmsr

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。 マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• When ran with administrator privileges:
  • When ran in a system with a version lower than or equal to Windows 7:
    • %User Temp%\sdb{4 digit Hex Number}.tmp
    • %Windows%\AppPatch\Custom\{hex-values}.sdb
  • When ran in a system with a version greater than Windows 7:
    • %System%\mswinload0.dll
• When ran without administrator privileges:
  • %Application Data%\mswinload.dll

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.. %Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

マルウェアは、以下のプロセスを追加します。

• When ran with administrator privileges:
  • %System%\sdbinst.exe -q -p %User Temp%\sdb{4 digit Hex Number}.tmp (While running in a system with a version lower than or equal to Windows 7)

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• windows_7_windows_10_check_running_once_mutex

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
mswinload = rundll32 %AppData\mswinload.dll,#1

マルウェアは、特定のアプリケーションの起動時に自身が自動実行されるよう、「Image File Execution Options」キーを用いて以下のレジストリキーおよびレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Image File Execution Options\
winlogon.exe
VerifierDlls = mswinload0.dll

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
{3 random letters}
{1 letter} = {Hex Values}

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
{3 random letters}
{1 letter} = {Hex Values}

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\AppCompatFlags\
Custom\services.exe
{hex-values}.sdb = {Timestamp}

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
{hex-values}.sdb
DisplayName = Microsoft KB2720155

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
{hex-values}.sdb
UninstallString = %System%\sdbinst.exe -u %Windows%\AppPatch\Custom\{hex-values}.sdb

HKEY_LOCAL_MACHINE\SOFTWARE\Microsot\
Windows NT\CurrentVersion\AppCompatFlags\
InstalledSDB\{hex-values}
DatabasePath = %Windows%\AppPatch\Custom\{hex-values}.sdb

HKEY_LOCAL_MACHINE\SOFTWARE\Microsot\
Windows NT\CurrentVersion\AppCompatFlags\
InstalledSDB\{hex-values}
DatabaseType = {Numbers}

HKEY_LOCAL_MACHINE\SOFTWARE\Microsot\
Windows NT\CurrentVersion\AppCompatFlags\
InstalledSDB\{hex-values}
DatabaseDescription = Microsoft KB2720155

HKEY_LOCAL_MACHINE\SOFTWARE\Microsot\
Windows NT\CurrentVersion\AppCompatFlags\
InstalledSDB\{hex-values}
DatabaseInstallTimeStamp = {Timestamp}

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Execute CMD Commands
• Reboot the System
• Sleep
• Record Video
• Enable/Disable RDP
• Port Forward
• Inject PE Files
• Get Drive Information and Directories/Files
• Manage Files (Create,Read,Write,Delete)
• Create Directory

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• {BLOCKED}analtyic.com:443

情報漏えい

マルウェアは、以下の情報を収集します。

• Domain Name
• Computer Name
• Country Code
• OS Version and Architecture
• User Privilege
• Proxy Settings

その他

マルウェアは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
{3 random letters}

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
{3 random letters}

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\AppCompatFlags\
Custom\services.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
{hex-values}.sdb

HKEY_LOCAL_MACHINE\SOFTWARE\Microsot\
Windows NT\CurrentVersion\AppCompatFlags\
InstalledSDB\{hex-values}

マルウェアは、以下を実行します。

• After installing itself in the system, the system it is running on needs to be rebooted in order for it to proceed with its other malicious routines.
• It checks the user privilege it is run with and depending on what was used it will use the following registry tree:
  • HKEY_LOCAL_MACHINE → When run with administrator rights
  • HKEY_CURRENT_USER → When run without administrator rights
• The created registry key contains the loader for the encrypted RAT component and the encrypted RAT component itself.
• It checks the version of the system it is running on and depending on the result will use different ways of establishing persistence:
  • For systems running with a version lower than or equal to Windows 7:
    • Via Applications Shims (Installed with sdbinst.exe)→ When run with administrator rights
    • Via Registry Run Keys → When run without administrator rights
  • For systems running with a version greater than Windows 7:
    • Via Registry Run Keys → When run without administrator rights
    • Via Image File Execution Options Keys → When run with administrator rights