BKDR_FLAWEDAMMYY.DLOADR

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

マルウェアは、スパムメール送信活動を実行するボットネット「NECURS」に関連しています。トレンドマイクロは、2018年6月、IQYファイルを悪用する手法を採用したNECURSの活動を確認しました。IQYファイルによって引き出されるデータには、ExcelのDDE機能を利用し、PowerShellコマンドを実行できるスクリプトが含まれています。

このマルウェアは、上記のPowerShellスクリプトによってダウンロードされるダウンローダで、イメージファイルを偽装しています。このファイルは、次に、特定のコンポーネントファイルをダウンロードします。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、ダウンロードしたファイルを実行します。 ただし、情報公開日現在、このWebサイトにはアクセスできません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のフォルダを追加します。

• %ProgramData%\Settings

(註：%ProgramData%フォルダは、マルチユーザーシステムにおいて任意のユーザがプログラムに変更を加えることができるプログラムファイルフォルダのバージョンです。これには、すべてのユーザのアプリケーションデータが含まれます。Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData" です。Windows Server 2003(32-bit)、2000(32-bit)、XPの場合、通常 "C:\Documents and Settings\All Users" です。 )

他のシステム変更

マルウェアは、以下のファイルを削除します。

• %ProgramData%\AMMYY\wmihost.exe
• %ProgramData%\AMMYY\settings3.bin
• %ProgramData%\Foundation\wmites.exe
• %ProgramData%\Foundation\settings3.bin
• %ProgramData%\Foundation1\wmites.exe
• %ProgramData%\Foundation1\settings3.bin
• %ProgramData%\Microsoft\wsus.exe
• %ProgramData%\Microsoft\settings3.bin

(註：%ProgramData%フォルダは、マルチユーザーシステムにおいて任意のユーザがプログラムに変更を加えることができるプログラムファイルフォルダのバージョンです。これには、すべてのユーザのアプリケーションデータが含まれます。Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData" です。Windows Server 2003(32-bit)、2000(32-bit)、XPの場合、通常 "C:\Documents and Settings\All Users" です。 )

マルウェアは、以下のフォルダを削除します。

• %ProgramData%\Settings
• %ProgramData%\Microsoft\Enc
• %ProgramData%\AMMYY
• %ProgramData%\Foundation
• %ProgramData%\Foundation1

(註：%ProgramData%フォルダは、マルチユーザーシステムにおいて任意のユーザがプログラムに変更を加えることができるプログラムファイルフォルダのバージョンです。これには、すべてのユーザのアプリケーションデータが含まれます。Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData" です。Windows Server 2003(32-bit)、2000(32-bit)、XPの場合、通常 "C:\Documents and Settings\All Users" です。 )

プロセスの終了

マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• Wsus.exe

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスし、不正なファイルをダウンロードして実行します。

• http://{BLOCKED}portservice.com/load.png

マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %ProgramData%\Settings\wsus.exe

(註：%ProgramData%フォルダは、マルチユーザーシステムにおいて任意のユーザがプログラムに変更を加えることができるプログラムファイルフォルダのバージョンです。これには、すべてのユーザのアプリケーションデータが含まれます。Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData" です。Windows Server 2003(32-bit)、2000(32-bit)、XPの場合、通常 "C:\Documents and Settings\All Users" です。 )

マルウェアは、ダウンロードしたファイルを実行します。

ただし、情報公開日現在、このWebサイトにはアクセスできません。

その他

マルウェアは、セキュリティ対策製品に関連する以下の実行中のプロセスを確認します。

• BullGuard.exe
• Bdss.exe
• Bdagent.exe
• V3Main.exe
• V3SP.exe
• PSVMain.exe
• it executes the following commands:
• /C net.exe stop ammyy
• /C sc delete ammyy
• /C net.exe stop foundation
• /C sc delete foundation
• /c del {malware path}\1.exe >> NUL
• /C sc create foundation binPath= ""%ProgramData%\Settings\wsus.exe -service"" type= own start= auto e
• /C net.exe start foundation y