BKDR_POISON.TUFW

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

マルウェアは、台湾および香港のTV局や政府関連Webサイトを標的とした攻撃キャンペーンに関連しています。この攻撃キャンペーンでは、攻撃者は、「Hacking Team」への攻撃により漏えいした情報で確認された Adobe Flash Player に存在する脆弱性を利用し、「PoisonIvy」を拡散します。

マルウェアは、リモートサイトから他のマルウェアまたはグレイウェアにダウンロードされ、コンピュータに侵入します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

侵入方法

マルウェアは、リモートサイトから以下のマルウェアまたはグレイウェアにダウンロードされ、コンピュータに侵入します。

• SWF_CVE20155122.A

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Send system information (Lan IP, Wan IP, Computer name, Username, Account Type, OS)
• Send hardware information (CPU speed, Memory)
• Manage Files (Search, Download, Upload, Execute, Rename, Delete)
• Manage Registries (Search, Modify, Delete, Rename, Create)
• Manage Processes (View, Kill, Suspend, Unload Module)
• Manage Services (View, Start, Stop, Edit, Install, Uninstall)
• Manage Devices (View, Enable, Disable, Remove)
• Manage Windows
• Relay server
• View,copy and uninstall applications
• View active ports
• Perform a shell command
• Download and inject remote codes to legitimate processes
• Log keystrokes and active window
• Capture screenshots
• View webcam activity
• Listen to microphone audio
• Update, Uninstall, Restart the malware
• Retrieve cached passwords and hashes

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• win7.{BLOCKED}z.info:443

マルウェアが実行する不正リモートユーザからのコマンドは以下のとおりです。

• コンピュータの情報を送信(Lan IP、Wan IP、コンピュータ名、ユーザ名、アカウントタイプ、OS)
• ハードウェアの情報を送信(CPU スピード、メモリ)
• ファイルの操作(検索、ダウンロード、アップロード、実行、改称、削除)
• レジストリの操作(検索、変更、削除、改称、作成)
• プロセスの操作(閲覧、終了、中断、モジュールの読み込み)
• サービスの操作(閲覧、開始、停止、編集、インストール、アンインストール)
• ディバイスの操作(閲覧、有効、無効、削除)
• ウィンドウの操作
• サーバを中継
• アプリケーションを閲覧、コピー、アンインストール
• アクティブなポートを閲覧
• シェルコマンドを実行
• リモートコードをダウンロードして正規のプロセスに組み込む
• キー入力操作情報およびアクティブウィンドウを記録
• スクリーンショットのキャプチャ
• Webカメラ活動の閲覧
• マイクロホン音声の傍受
• マルウェアの更新、アンインストール、再起動
• キャッシュしたパスワードおよびハッシュの回収