Backdoor.Win32.SYSTEMBC.A

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。 マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %Windows%\Tasks\{Random characters}.job → same as the filename of created copy

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %All Users Profile%\{Random characters}\{Random characters}.exe

(註：%All Users Profile%フォルダは、ユーザの共通プロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\All Users” です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData” です。)

マルウェアは、以下のプロセスを追加します。

• %All Users Profile%\{Random characters}\{Random characters}.exe start

(註：%All Users Profile%フォルダは、ユーザの共通プロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\All Users” です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData” です。)

マルウェアは、以下のフォルダを作成します。

• %All Users Profile%\{Random characters}

(註：%All Users Profile%フォルダは、ユーザの共通プロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\All Users” です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData” です。)

マルウェアは、感染コンピュータ上のメモリに以下のプロセスを確認すると、自身を終了します。

• a2guard.exe

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Execute Arbitrary Commands via VBS, BAT,CMD and PS1 Files
• Execute EXE and DLL files

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• {BLOCKED}08.com:4039
• {BLOCKED}08.xyz:4039
• {BLOCKED}.{BLOCKED}.244.244
• {BLOCKED}.{BLOCKED}.21.38
• {BLOCKED}.{BLOCKED}.81.140
• {BLOCKED}.{BLOCKED}.164.118
• {BLOCEKD}.{BLOCKED}.206.212
• {BLOCKED}.{BLOCEKD}.40.189
• {BLCOEKD}.{BLOCKED}.175.225
• {BLOCKED}.{BLOCKED}.193.9
• {BLOCKED}.{BLOCKED}.0.34
• {BLOCKED}.{BLOCKED}.0.39

情報漏えい

マルウェアは、以下の情報を収集します。

• Username
• System Architecture
• Volume Serial Number
• Windows Build Number

その他

マルウェアは、以下を実行します。

• If it is started with no parameters, it does the following:
  • Create the folder that would contain its copy.
  • Drop its copy in the created folder.
  • Create the scheduled task and run the said scheduled task.

マルウェアは、以下のパラメータを受け取ります。

• start → Start main routine.

以下のスケジュールされたタスクを追加します：

• Task Name: \{Random characters} → same as the filename of created copy
  Trigger: Every 2 mins for the duration of 1 day
  Action: %All Users Profile%\{Random characters}\{Random characters}.exe start

(註：%All Users Profile%フォルダは、ユーザの共通プロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\All Users” です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData” です。)