Backdoor.Win32.SHADOWPAD.ZAIF-B

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %All Users Profile%\Temp\svchost.exe → loads mscoree.dll
• %All Users Profile%\Temp\mscoree.dll → detected as Backdoor.Win32.SHADOWPAD.ZAIF-B (loads mscoree.dll.mui)
• %All Users Profile%\Temp\mscoree.dll.mui → detected as Backdoor.Win32.SHADOWPAD.ZBIF-B (main routine)

(註：%All Users Profile%フォルダは、ユーザの共通プロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\All Users” です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData” です。)

マルウェアは、以下のプロセスを追加します。

• If its execution path is %All User Profile%\Temp:
  • %All Users Profile%\Temp\svchost.exe
  • %System%\winlogon.exe

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

マルウェアは、以下のフォルダを作成します。

• %All Users Profile%\Temp

(註：%All Users Profile%フォルダは、ユーザの共通プロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\All Users” です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData” です。)

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• Global\nflvjnpfbblrtvbndlnrnttdx

マルウェアは、以下のプロセスにコードを組み込みます。

• %System%\winlogon.exe

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\ipn
ipn = {Hex Values}

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Download and execute arbitrary codes

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• http://davires.pu{BLOCKED}.com:8080

ただし、情報公開日現在、このサーバには接続できません。

その他

マルウェアは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\ipn

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
NzThbz

マルウェアが自身の不正活動を実行するためには、以下のコンポーネントが必要になります。

• %All Users Profile%\Temp\mscoree.dll.mui → detected as Backdoor.Win32.SHADOWPAD.ZBIF-B

(註：%All Users Profile%フォルダは、ユーザの共通プロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\All Users” です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData” です。)

マルウェアは、以下のサービスを追加し、実行します。

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\svchost
ImagePath = %All Users Profile%\Temp\svchost.exe

マルウェアは、以下を実行します。

• Its execution path needs to be in %All Users Profile%\Temp to perform its malicious routine
• Checks for the existence of:
  • %All Users Profile%\ptdpbdpp\ttxtnz\bbfltjvd\dxrpltfb

(註：%All Users Profile%フォルダは、ユーザの共通プロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\All Users” です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData” です。)