Backdoor.Win64.ADAPTIX.B
Win64:Evo-gen [Trj] (AVAST); a variant of Win64/Kryptik.ECW trojan(NOD32)
Windows
マルウェアタイプ:
バックドア型
破壊活動の有無:
なし
暗号化:
感染報告の有無 :
はい
概要
マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。
マルウェアは、ワーム活動の機能を備えていません。
マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。
詳細
侵入方法
マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。
感染活動
マルウェアは、ワーム活動の機能を備えていません。
バックドア活動
マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。
- https://{BLOCKED}ks.ie/api/v2/users/sync
- https://{BLOCKED}ks.ie/assets/js/bundle.js
- https://{BLOCKED}ks.ie/graphql
- https://{BLOCKED}ks.ie/api/v1/telemetry
- https://{BLOCKED}ks.ie/api/v3/metrics/collect
- https://{BLOCKED}ks.ie/v2/heartbeat/ping
- https://{BLOCKED}.{BLOCKED}.210.19
マルウェアは、以下のビルトインコマンドを内部で処理します。
- ping → ビーコンの状態を確認し、C&Cサーバとの接続状況を検証する
- sleep → コールバックのポーリング間隔およびジッター（Jitter）の設定を変更する
- reconnect → ソケットを再接続し、C&Cサーバとの通信セッションを更新する
- status → 現在のセッション状態およびアクティブなメモリ占有領域（フットプリント）を取得する
- ls → ディレクトリの内容を一覧表示し、ファイルを検索する
- upload → C&Cサーバから受信したファイルをローカルシステムに書き込む
- download → ローカルファイルを読み込み、C2サーバへ外部送出する
- file_manage → ローカルファイルをコピー、移動、削除する
- mkdir/rmdir → フォルダを作成、削除する
- cd/pwd → 現在の作業ディレクトリを照会（クエリ）、変更する
- exec → カスタムコマンドラインを用いて任意のプロセスを生成する
- ps_monitor → 生成されたプロセスを監視し、終了コードを取得する
- kill → ネイティブのシステムコールを用いてプロセスID（PID）を指定し、プロセスを強制終了する
- ps → 実行中のプロセスおよびモジュールを列挙する
- impersonate → 窃取したアクセストークンを用いて、ユーザになりすます
- revtoself → なりすましに用いたトークンを破棄し、元のプロセス権限に戻す
- shell → リダイレクトされた名前付きパイプを用いて、対話型シェル（cmd.exe）を起動する
- inject → メモリを割り当て、新たなスレッド内でペイロードを実行する
ルートキット機能
マルウェアは、ルートキット機能を備えていません。
情報漏えい
マルウェアは、以下の情報を収集します。
- IPアドレス
- ユーザ名
- コンピュータ名
- Active Directory / ネットワークドメイン名
- ホストプロセスのパス
- プロセスID（PID）
- プロセスのアーキテクチャおよびビット数 (32ビットまたは64ビット)
- ユーザのセキュリティ識別子（SID）
- ユーザの権限レベル
- オペレーティングシステム（OS）のバージョン
その他
マルウェアは、以下を実行します。
- マルウェアは、以下の機能を備えています。
- 任意のシステムコマンドを実行する
- 認証情報やアクセストークンを用いてユーザになりすます
- サーバからファイルをダウンロードする
- サーバにファイルをアップロードする
- ディレクトリを移動、管理する
- プロセスを列挙、終了する
- 名前付きパイプを介した対話型コマンドシェルを起動する
- メモリ内にシェルコードを注入して実行する
- ホストプロセス（例：rundll32.exeやregsvr32.exe）を介して、エクスポートされた関数「DLLRegisterServer」を呼び出すことで実行されます。
- ディスクにファイルを作成することなく、コアペイロードをメモリ内で直接展開して実行します。
- サンドボックスによる解析を回避するために遅延ループを実行します。
- 対話型シェルを実行するために、以下の名前付きパイプを作成します。
- \.\pipe\%08lx
マルウェアは、脆弱性を利用した感染活動を行いません。
対応方法
手順 1
トレンドマイクロの機械学習型検知は、マルウェアの存在が確認された時点で検出し、マルウェアが実行される前にブロックします。機械学習型検知が有効な場合、当社のウイルス対策製品はこのマルウェアを以下の機械学習型検出名として検出します。
-
TROJ.Win32.TRX.XXPE50FFF110
手順 2
Windows 7、Windows 8、Windows 8.1、および Windows 10 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。
手順 3
最新のパターン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「Backdoor.Win64.ADAPTIX.B」と検出したファイルはすべて削除してください。
検出されたファイルが、当社ウイルス対策製品により自動に削除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。
ご利用はいかがでしたか？ アンケートにご協力ください