Backdoor.Win32.SHADOWPAD.ZAIF-A

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %All Users Profile%\Test\Test.exe → loads mscoree.dll
• %All Users Profile%\Test\mscoree.dll → detected as Backdoor.Win32.SHADOWPAD.ZAIF-A (loads mscoree.dll.mui)
• %All Users Profile%\Test\mscoree.dll.mui → detected as Backdoor.Win32.SHADOWPAD.ZBIF-A (main routine)

(註：%All Users Profile%フォルダは、ユーザの共通プロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\All Users” です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData” です。)

マルウェアは、以下のプロセスを追加します。

• If its execution path is %All User Profile%\Test:
  • %All Users Profile%\Test\Test.exe
  • %Program Files%\Windows Media Player\wmplayer.exe

(註：%Program Files%フォルダは、デフォルトのプログラムファイルフォルダです。C:\Program Files in Windows 2000(32-bit)、Server 2003(32-bit)、XP、Vista(64-bit)、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files"です。また、Windows XP(64-bit)、Vista(64-bit)、7(64-bit)、8(64-bit)、8.1(64-bit)、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files（x86）" です。)

マルウェアは、以下のフォルダを作成します。

• %All Users Profile%\Test

(註：%All Users Profile%フォルダは、ユーザの共通プロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\All Users” です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData” です。)

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• Global\njpfhhvzptblvlzxdllpfbxljj

マルウェアは、以下のプロセスにコードを組み込みます。

• %Program Files%\Windows Media Player\wmplayer.exe

(註：%Program Files%フォルダは、デフォルトのプログラムファイルフォルダです。C:\Program Files in Windows 2000(32-bit)、Server 2003(32-bit)、XP、Vista(64-bit)、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files"です。また、Windows XP(64-bit)、Vista(64-bit)、7(64-bit)、8(64-bit)、8.1(64-bit)、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files（x86）" です。)

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\ztnxrz
ztnxrz = {Hex Values}

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Download and execute arbitrary codes

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• http://jamesvharden.myf{BLOCKED}.org:8080

ただし、情報公開日現在、このサーバには接続できません。

その他

マルウェアは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\ztnxrz

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
DnBjpv

マルウェアが自身の不正活動を実行するためには、以下のコンポーネントが必要になります。

• %All Users Profile%\Test\mscoree.dll.mui → detected as Backdoor.Win32.SHADOWPAD.ZBIF-A

(註：%All Users Profile%フォルダは、ユーザの共通プロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\All Users” です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData” です。)

マルウェアは、以下のサービスを追加し、実行します。

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\MyTest
ImagePath = %All Users Profile%\Test\Test.exe

マルウェアは、以下を実行します。

• Its execution path needs to be in %All Users Profile%\Test to perform its malicious routine
• Checks for the existence of:
  • %All Users Profile%\ixl\nxvxbv\klzfjvx\vrhbxp

(註：%All Users Profile%フォルダは、ユーザの共通プロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\All Users” です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData” です。)