BKDR_CENTERPOS.A

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

トレンドマイクロは、2015年9月末、米国の中小企業を狙う新たなPOSマルウェアを確認しました。このマルウェアに感染したコンピュータは、マルウェアのバックドア活動によって感染したと考えられます。

マルウェアは、リモートサイトから他の不正プログラムにダウンロードされ、コンピュータに侵入します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。 マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

マルウェアは、リモートサイトから以下の不正プログラムによりダウンロードされ、コンピュータに侵入します。

• BAT_POSCENTER.A

自動実行方法

マルウェアは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\System\CurrentControlSet\
Services\CenterPoint
ImagePath = "%Windows%\Microsoft .NET\Framework\{Version}\CenterPoint.exe"

HKEY_LOCAL_MACHINE\System\CurrentControlSet\
Services\CenterPoint
Description = "DHCP Handler"

マルウェアは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\CenterPoint

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Uninstall itself
• Terminate C&C Communication
• Send Stolen Information Gathered

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• http://{BLOCKED}k.com/2kj1h43.php

マルウェアは、コマンド＆コントロール（C&C）サーバに以下の情報を通知します。

• OS Version
• Computer name
• Malware version: 1.7
• Localhost name
• Victim GUID (Md5 encoded sting combination of Processor ID, Mac Address, Serial number)
• Card track data
• List of scanned processes

マルウェアが実行する不正リモートユーザからのコマンドは以下のとおりです。

• 自身のアンインストール
• コマンド＆コントロール（C&C）通信の終了
• 窃取した情報の送信

マルウェアがコマンド＆コントロール（C&C）サーバに通知する情報は以下のとおりです。

• オペレーティングシステム(OS)の情報
• コンピュータ名
• POSマルウェアのバージョン: 1.7
• ローカルのホスト名
• 感染コンピュータのGUID（MD5でエンコードされたプロセッサID、MACアドレス、シリアル番号の文字列の組み合わせ）
• カードトラック情報
• スキャンしたプロセスのリスト

マルウェアは、プロセスのメモリをスキャンし、トラック1 およびトラック2のカード情報を取得します。 マルウェアは以下のプロセスのスキャンをスキップします。

• explorer.exe
• chrome.exe
• firefox.exe
• iexplore.exe
• svchost.exe
• smss.exe
• csrss.exe
• wininit.exe
• steam.exe
• devenv.exe
• thunderbird.exe
• skype.exe
• services.exe
• dwm.exe
• dllhost.exe
• jusched.exe
• jucheck.exe
• lsass.exe
• winlogon.exe
• alg.exe
• wscntfy.exe
• taskmgr.exe
• spoolsv.exe
• QML.exe
• AKW.exe
• wdc.exe
• taskhost.exe
• searchindexer.exe
• lsm.exe
• igfxpers.exe
• igfxtray.exe
• hkcmd.exe
• sqlservr.exe
• sqlwriter.exe
• vmnat.exe
• vmnetdhcp.exe
• vmware-authd.exe
• vmware-hostd.exe
• vmware-tray.exe
• vmware-usbarbitrator64.exe
• vmware-usbarbitrator.exe
• vmware.exe
• audiodg.exe
• dfx.exe
• asldrsrv.exe
• gfnexsrv.exe
• jswpbapi.exe
• atkosd2.exe
• teamviewer_service.exe
• dmedia.exe
• hcontroluser.exe
• hcontrol.exe
• pestudio.exe
• smartassembly.exe
• rundll32.exe
• tpautoconnect.exe
• wuauclt.exe
• imapi.exe
• cmd.exe
• pidgin.exe
• conhost.exe

マルウェアは、以下の文字列を含む場合、プロセスのスキャンをスキップします。

• system
• system idle process
• idle

マルウェアは、ファイルバージョン情報の会社名、著作権、商標、製品名、ファイルの説明に以下の文字列が含まれる場合、プロセスのスキャンをスキップします。

• microsoft
• apple inc
• adobe systems
• intel corporation
• vmware
• mozilla