TROJ_LAZIOK.B

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

マルウェアは、エネルギー関連企業を対象とする攻撃キャンペーンで確認されました。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。

マルウェアは、感染コンピュータから特定の情報を収集します。

ただし、情報公開日現在、このWebサイトにはアクセスできません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Application Data%\System\Oracle\smss.exe
• %Windows%\explorer\smss.exe

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.. %Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

マルウェアは、以下のファイルを作成します。

• %Application Data%\System\Oracle\azioklmpx\hzid\hzid.txt
• %Application Data%\System\Oracle\azioklmpx\ext\ext.txt

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

マルウェアは、以下のフォルダを作成します。

• %Application Data%\System
• %Application Data%\System\Oracle
• %Application Data%\System\Oracle\azioklmpx
• %Application Data%\System\Oracle\azioklmpx\hzid
• %Application Data%\System\Oracle\azioklmpx\ext

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• yourhavebecracked

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKLM\Software\Microsoft\
Windows\CurrentVersion\Run
Windows = %Windows%\explorer\smss.exe

HKCU\Software\Microsoft\
Windows\CurrentVersion\Run
Windows = %Application Data%\System\Oracle\smss.exe

バックドア活動

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• http://{BLOCKED}.{BLOCKED}.77.75/panel/includes/verif.php
• http://{BLOCKED}.{BLOCKED}.77.75/panel/includes/tor.php
• http://{BLOCKED}.{BLOCKED}.77.75/panel/includes/fileupload.php
• http://{BLOCKED}.{BLOCKED}.77.75/panel/includes/extension.php
• http://{BLOCKED}.{BLOCKED}.77.75/panel/includes/f_i_l_e_h_o_s_t.php
• http://{BLOCKED}.{BLOCKED}.77.75/panel/includes/persis.php
• http://{BLOCKED}.{BLOCKED}.77.75/panel/includes/btcplugin.php
• http://{BLOCKED}.{BLOCKED}.77.75/panel/includes/d_elay.php
• http://{BLOCKED}.{BLOCKED}.77.75/panel/includes/d_elay.php
• http://{BLOCKED}.{BLOCKED}.77.75/panel/includes/day.php
• http://{BLOCKED}.{BLOCKED}.77.75/panel/includes/ip.php
• http://{BLOCKED}.{BLOCKED}.77.75/panel/includes/country.php
• http://{BLOCKED}.{BLOCKED}.77.75/panel/includes/idcontact.php
• http://{BLOCKED}.{BLOCKED}.77.75/panel/includes/bkill.php
• http://{BLOCKED}.{BLOCKED}.77.75/panel/includes/install_info.php
• http://{BLOCKED}.{BLOCKED}.77.75/panel/includes/pinginfo.php
• http://{BLOCKED}.{BLOCKED}.77.75/panel/includes/get.php
• http://{BLOCKED}.{BLOCKED}.77.75/panel/includes/post.php

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスし、不正なファイルをダウンロードして実行します。

• http://{BLOCKED}.{BLOCKED}.77.75/panel/includes/torkit/tor.exe - %Application Data%\System\Oracle\azioklmpx\admin.exe
• http://{BLOCKED}.{BLOCKED}.77.75/panel/includes/search.exe - %Application Data%\System\Oracle\azioklmpx\search.exe
• http://{BLOCKED}.{BLOCKED}.77.75/panel/includes/414fileh0st.exe - %Application Data%\System\Oracle\azioklmpx\chrome.exe
• http://{BLOCKED}.{BLOCKED}.77.75/panel/includes/kit47896.exe - %Application Data%\System\Oracle\azioklmpx\smss.exe
• http://{BLOCKED}.{BLOCKED}.77.75/panel/includes/btcplugin.exe - %Application Data%\System\Oracle\azioklmpx\lsass.exe
• http://{BLOCKED}.{BLOCKED}.77.75/panel/includes/ibank.exe - %Application Data%\System\Oracle\azioklmpx\ati.exe
• http://{BLOCKED}.{BLOCKED}.77.75/panel/includes/ikey.exe - %Application Data%\System\Oracle\azioklmpx\key.exe
• http://{BLOCKED}.{BLOCKED}.77.75/panel/includes/brute/brutegen.exe - %Application Data%\System\Oracle\azioklmpx\taskmgr.exe

情報漏えい

マルウェアは、感染コンピュータから以下の情報を収集します。

• Computer Name
• Operating Sysytem
• Country and Ip Address
• GPU Information
• CPU Information
• Installed Web Browsers
• Installed Applications
• Installed Anti-Malware Applications

その他

ただし、情報公開日現在、このWebサイトにはアクセスできません。

マルウェアが収集する情報は、以下のとおりです。

• コンピュータ名
• オペレーティングシステム（OS）
• 国およびIPアドレス
• GPU情報
• CPU情報
• インストールされたWebブラウザ
• インストールされたアプリケーション
• インストールされたセキュリティ関連アプリケーション

収集および送信される情報は、以下を含んでいます。

• GPU 情報:
  • AMD/ATI Technologies
  • Nvidia Corporation
• CPU 情報:
  • Processor
  • HDD Size
  • RAM Memory
• インストールされたWebブラウザ:
  • Google Chrome
  • Mozilla Firefox
  • Opera
• インストールされたアプリケーション:
  • Steam
  • Origin
  • Java
  • Microsoft.Net
• インストールされたセキュリティ関連アプリケーション:
  • G Data
  • Microsoft Security Client
  • Norton Internet Security
  • Kaspersky Lab
  • Mcafee
  • Avast Software
  • BitDefender
  • ESET
  • AVG
  • AntiVir Personal Edition Classic
  • Malwarebytes Anti-Malware
  • Comodo