BKDR_ANDROM.ETIN

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

このマルウェアは、侵入段階から最終的に実行されるバックドア型マルウェアまで、物理的にマルウェア自体のファイルを作成しない不正活動に関連しています。自動実行のレジストリ値を介してダウンロードされ、感染コンピュータ上にバックドア型マルウェアをインストールします。

マルウェアは、リモートサイトから他のマルウェアまたはグレイウェアにダウンロードされ、コンピュータに侵入します。

マルウェアは、特定のレジストリ値を削除するため、アプリケーションやプログラムが正しく起動しなくなります。

マルウェアは、ワーム活動の機能を備えていません。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。 マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

マルウェアは、リモートサイトから以下のマルウェアまたはグレイウェアにダウンロードされ、コンピュータに侵入します。

• TROJ_PSINJECT.A

マルウェアは、以下のリモートサイトからダウンロードされ、コンピュータに侵入します。

• https://{BLOCKED}ndo.ru/favicon

インストール

マルウェアは、以下のプロセスを追加します。

• WerFault.exe (Windows Vista and above) / ctfmon.exe (Windows XP and below)
• msiexec.exe

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• Global\Mutex_4e1c16d7187ac191a832a41f7192645425dad5c792b76ed1dd7071926289ac66

マルウェアは、以下のプロセスにコードを組み込みます。

• created WerFault.exe/ctfmon.exe
• created msiexec.exe

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{UID} = "%System%\WindowsPowerShell\v1.0\powershell.exe -WindowStyle hidden -NoLogo -NonInteractive -ep bypass -nop iex ([Text.Encoding]::ASCII.GetString([Convert]::FromBase64String((gp 'HKCU:\Software\Classes\{random character}').{random character})));"

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Classes\
{random characters}
{random characters} = {base 64 encoded powershell command}

HKEY_CURRENT_USER\Software\Classes\
{random characters}
{UID} = {encrypted binary data}

HKEY_CURRENT_USER\Console\%SystemRoot%\
_system32_WIndowsPowerShell_v1.0_powershell.exe
WindowPosition = 4294905760

HKEY_CURRENT_USER\Console\%SystemRoot%\
_system32_WIndowsPowerShell_v1.0_powershell.exe
ScreenBufferSize = 65616

HKEY_CURRENT_USER\Console\%SystemRoot%\
_system32_WIndowsPowerShell_v1.0_powershell.exe
WindowSize = 65616

マルウェアは、以下のレジストリ値を削除します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Image File Execution Options\
taskmgr.exe
Debugger = "taskmgr.exe"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{UID} = {where the data has the following strings}:

• "powershell"
• "-windowstyle hidden"
• "[Text.Encoding]::ASCII.GetString([Convert]::FromBase64String"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
COM+ = {current value}

感染活動

マルウェアは、ワーム活動の機能を備えていません。

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Start a Process
• Download a file directed by C&C server, save it as %User Temp%\KB{8 random numbers}.exe and execute it
• Copy %System%\cdosys.dll to %User Temp%\cdo{random number}.dll and load it
• Uninstall itself

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.. %System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• http://{Random Generated Domain}/nonc.so
• http://{BLOCKED}an.ru/q.php
• http://{BLOCKED}ano.ru/q.php

プロセスの終了

マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• powershell.exe

情報漏えい

マルウェアは、以下の情報を収集します。

• Root Volume Serial Number
• Operating System Version
• Local IP Address
• Administrator privileges

その他

マルウェアは、以下のWebサイトにアクセスしてインターネット接続を確認します。

• microsoft.com

マルウェアは、以下のプロセスを追加します。

• WerFault.exe（Windows Vistaおよびそれ以降） / ctfmon.exe (Windows XPおよびそれ以前)

マルウェアが実行する不正リモートユーザからのコマンドは以下のとおりです。

• コマンド＆コントロール（C&C）サーバの指示でファイルをダウンロードして”%User Temp%\KB{8 random numbers}.exe”として保存した後、実行する
• "%System%\cdosys.dll"を"%User Temp%\cdo{random number}.dll"へコピーして読み込む
• 自身のアンインストール
• プロセスの開始

マルウェアが収集する情報は以下のとおりです。

• ルートボリュームのシリアル番号
• オペレーティングシステム（OS）のバージョン
• プライベートIPアドレス
• 管理者権限

マルウェアは、以下の「Network Time Protocol（NTP）」サーバに接続します。

• africa.pool.ntp.org
• oceania.pool.ntp.org
• asia.pool.ntp.org
• south-america.pool.ntp.org
• north-america.pool.ntp.org
• europe.pool.ntp.org

マルウェアは、以下のPowershellコマンドを利用してレジストリ内のbase64でエンコードされたPowershellコマンドを復号し実行します。

• "%System%\WindowsPowerShell\v1.0\powershell.exe -WindowStyle hidden -NoLogo -NonInteractive -ep bypass -nop iex ([Text.Encoding]::ASCII.GetString([Convert]::FromBase64String((gp 'HKCU:\Software\Classes\{random characters}').{random character})));"

マルウェアは、自身の不正活動を実行するために、以下の条件を確認します。

• "Global\Mutex_4e1c16d7187ac191a832a41f7192645425dad5c792b76ed1dd7071926289ac66" mutex（ミューテックス）が存在しないこと
• "C:\Python27"フォルダが存在いないこと
• "%System%\WindowsPowerShell\v1.0\powershell.exe"の存在

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

マルウェアは、ルートキット機能を備えていません。

マルウェアは、脆弱性を利用した感染活動を行いません。