ELF_VPNFILT.B

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。 マルウェアは、リモートサイトから他のマルウェアまたはグレイウェアにダウンロードされ、コンピュータに侵入します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。 マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、リモートサイトから以下のマルウェアまたはグレイウェアにダウンロードされ、コンピュータに侵入します。

• ELF_VPNFILT.A

インストール

マルウェアは、以下のフォルダを追加します。

• /var/run/vpnfilterw <- Used by ELF_VPNFILT.C

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Terminate its current process
• Reboot the infected device
• Delays the reboot of the device
• Read local file contents
• Execute commands or another plugin with the following Linux Shell Commands:
  • /bin/sh
  • /bin/ash
  • /bin/bash
  • /bin/shell
• Delete system files, and directories
• Set its C&C proxy
• Set its C&C proxy port
• Set its other configuration parameters

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• {BLOCKED}skd4gipkm.onion/bin32/update.php
• {BLOCKED}.{BLOCKED}.180.60
• {BLOCKED}.{BLOCKED}.202.40
• {BLOCKED}.{BLOCKED}.179.14
• {BLOCKED}.{BLOCKED}.209.33
• {BLOCKED}.{BLOCKED}.250.54
• {BLOCKED}.{BLOCKED}.180.229
• {BLOCKED}.{BLOCKED}.242.124
• {BLOCKED}.{BLOCKED}.109.209
• {BLOCKED}.{BLOCKED}.13.76
• {BLOCKED}.{BLOCKED}.203.144
• {BLOCKED}.{BLOCKED}.80.82
• {BLOCKED}.{BLOCKED}.222.68
• {BLOCKED}.{BLOCKED}.198.231

情報漏えい

マルウェアは、以下の情報を収集します。

• Mac Address
• Platform Version
• IP Address
• Bootloader