TROJ_RECOLOAD.A

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

POS（販売時点情報管理）を事前調査するマルウェアは、侵入したコンピュータがPOSシステムの一部であるか、またはPOSシステムであるかを確認します。「Angler Exploit Kit（Angler EK）」を利用した攻撃により、このPOSマルウェアは拡散されます。さらに、POSマルウェアは、Adobe　Flash playerに存在する脆弱性「CVE-2015-0336」および「CVE-2015-3104」をシステムへの侵入経路として利用します。

侵入方法

スパイウェアは、以下のリモートサイトからダウンロードされ、コンピュータに侵入します。

• http://{BLOCKED}rrathenwil.eu/us
• http://audi.{BLOCKED}cedproject.xyz/pjDQO7VZSNg9dmQIFz70F0jcRLvDSyyWMKApHpIm1Y4kN_6I.py

ダウンロード活動

スパイウェアは、以下のWebサイトにアクセスし、不正なファイルをダウンロードして実行します。

• http://{C&C server}?user={encoded user and computer name}&id=13&ver=115&os={OS information}&os2={OS Version}&host={boolean}&k={random value}&type={depending on case}

スパイウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %User Temp%\{random}.exe
• %User Temp%\{random}.dll

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

"{C&C server}"には以下のいずれかがあてはまります。

• {BLOCKED}ipsmachoister.org
• {BLOCKED}arflonstexcb.org
• {BLOCKED}agshipeizehn.net

URIの最後の部分を見てください。パラメータ"type"は、以下のケースによります。

ケース1
type=0555 および type=0922
マルウェアがURLキャッシュの中で以下のURLを確認した場合：

• choiceadvantage.com
• uhauldealer.com
• secure-booker.com
• teletracker.com
• wupos.westernunion.com
• pay1.plugnpay.com
• secure.paymentech.com/iterminal/

または

マルウェアが以下のレジストリ情報の中に"Verifone"を確認した場合：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall
DisplayName

ケース2
type=0666 および type=0922

マルウェアがnet viewコマンドの出力に以下の文字列を確認した場合：:

• POS
• STORE
• SHOP
• SALE

ケース3
type=0505
上述の条件に一致にしない場合

URIの"type"は、感染コンピュータにどのマルウェアがダウンロードされるかを決定します。

マルウェアは、以下の解析対策手法を利用します。

1. マルウェアは、自身の画像内に".bss"というセクションが存在するかどうかを確認します。
2. マルウェアは、以下のモジュールが自身のプロセスに読み込まれているかを確認します。
   • dbghelp.dll
   • api_log.dll
   • dir_watch.dll
   • pstorec.dll
   • vmERROR.dll
   • wpespy.dll
   • PrxDrvPE.dll
   • PrxDrvPE64.dll
3. マルウェアは、以下のユーザ名のいずれかが感染コンピュータに使用されているユーザ名に一致するかを確認します。
   • MALTEST
   • TEQUILABOOMBOOM
   • SANDBOX
   • VIRUS
   • MALWARE
4. マルウェアは、"kernel32.dll"に以下の機能が含まれているかどうかを確認します。
   • wine_get_unix_file_name
5. マルウェアは、以下の解析ツールのプロセスが実行されているかどうかを確認します。
   • wireshark.exe
   • dumpcap.exe
   • Tcpview.exe
   • OllyDbg.exe