Trojan.BAT.LXRAT.A

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、ワーム活動の機能を備えていません。

マルウェアは、バックドア活動の機能を備えていません。

マルウェアは、情報収集する機能を備えていません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %User Temp%\svc_{random}.ps1 → Hidden-relaunch helper script that respawns the BAT with a hidden console window; deleted afterwards
• %User Temp%\{random}.bat → Decrypted Stage 1 inner dropper; deleted afterwards
• %User Temp%\khost_{random}.ps1 → PowerShell launcher that decrypts and reflectively loads the OmniCascade injector (.NET DLL; detected as Trojan.MSIL.INJECTOR.F) and LX-CLIENT.app RAT (.NET EXE; detected as Backdoor.MSIL.LXRAT.A); deleted afterwards

マルウェアは、以下のプロセスを追加します。

• cmd.exe /c find /c /v "" < "{malware path}\{malware filename}" → Counts total lines in the BAT to calculate extraction offsets
• cmd.exe /c findstr /n /C:"→-BEGIN_PS→-" "{malware path}\{malware filename}" → Locates the PowerShell payload marker line number
• cmd.exe /c findstr /n /C:"→-BEGIN_ENC→-" "{malware path}\{malware filename}" → Locates the encrypted data marker line number
• powershell -NoProfile -ExecutionPolicy Bypass -Command "Get-Content '{malware path}\{malware filename}' -Tail {N} | Select-Object -First {M} | Set-Content '%User Temp%\svc_{random}.ps1' -Encoding UTF8" → Extracts the hidden-relaunch helper script by line offset
• powershell -NoProfile -WindowStyle Hidden -ExecutionPolicy Bypass -File "%User Temp%\svc_{random}.ps1" → Executes the hidden-relaunch helper, which decrypts Stage 1 BAT and launches it
• cmd.exe /c "%User Temp%\{random}.bat" __hidden → Executes the decrypted Stage 1 inner BAT
• powershell -WindowStyle Hidden -NonInteractive -NoProfile -ExecutionPolicy Bypass -Command "{hidden relaunch of Stage 1 BAT via ProcessStartInfo}" → Stage 1 re-executes itself with a hidden window
• powershell -NoProfile -WindowStyle Hidden -ExecutionPolicy Bypass -File "%User Temp%\khost_{random}.ps1" → Executes the payload launcher (loads OmniCascade injector + RAT and performs process hollowing)
• %System%\csc.exe /noconfig /fullpaths @"%User Temp%\{random}\{random}.cmdline" → C# compiler invoked by Add-Type to compile inline RunPE P/Invoke declarations into a temporary .NET DLL
• %System%\cvtres.exe /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%User Temp%\{random}.tmp" "%User Temp%\{random}\{random}.res" → Resource converter child process of csc.exe (standard compiler pipeline artifact)
• %Windows%\Microsoft.NET\Framework64\v4.0.30319\CasPol.exe → Process-hollowing target (launched suspended, memory replaced with RAT payload)

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.. %Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

感染活動

マルウェアは、ワーム活動の機能を備えていません。

バックドア活動

マルウェアは、バックドア活動の機能を備えていません。

ルートキット機能

マルウェアは、ルートキット機能を備えていません。

情報漏えい

マルウェアは、情報収集する機能を備えていません。

その他

マルウェアは、以下を実行します。

• Relaunches itself with a hidden console window using ProcessStartInfo.WindowStyle = Hidden to avoid visible execution
• Uses the argument "ce5010f435" as a relaunch gate to distinguish first-run from payload execution

マルウェアは、脆弱性を利用した感染活動を行いません。

<補足>
インストール

マルウェアは、以下のファイルを作成します。

• %User Temp%\svc_{ランダム}.ps1 → 非表示のコンソールウィンドウでBATファイルを再生成する「非表示で起動するスクリプト」。後に削除される。
• %User Temp%\{ランダム}.bat → 復号された第一段階のドロッパ。後に削除される。
• %User Temp%\khost_{ランダム}.ps1 → OmniCascadeインジェクター（.NET DLL、Trojan.MSIL.INJECTOR.Fとして検出）およびLX-CLIENT.app RAT（.NET EXE、Backdoor.MSIL.LXRAT.Aとして検出）をメモリ上で復号してリフレクションロードするPowerShellランチャー。後に削除される。

マルウェアは、以下のプロセスを追加します。

• cmd.exe /c find /c /v "" < "{マルウェアパス}\{マルウェアのファイル名}" → オフセットを計算するためにBAT内の総行数をカウントする。
• cmd.exe /c findstr /n /C:"→-BEGIN_PS→-" "{マルウェアパス}\{マルウェアのファイル名}" → PowerShellスクリプト（ペイロード）の開始マーカーの行番号を特定する。
• cmd.exe /c findstr /n /C:"→-BEGIN_ENC→-" "{マルウェアパス}\{マルウェアのファイル名}" → 暗号化されたデータの開始マーカーの行番号を特定する。
• powershell -NoProfile -ExecutionPolicy Bypass -Command "Get-Content '{マルウェアパス}\{マルウェアのファイル名}' -Tail {N} | Select-Object -First {M} | Set-Content '%User Temp%\svc_{ランダム}.ps1' -Encoding UTF8" → 特定の行範囲から画面非表示起動スクリプトを抽出する。
• powershell -NoProfile -WindowStyle Hidden -ExecutionPolicy Bypass -File "%User Temp%\svc_{ランダム}.ps1" → 第一段階のBATファイルを復号して起動するための「画面非表示起動スクリプト」を実行する。
• cmd.exe /c "%User Temp%\{ランダム}.bat" __hidden → 復号された第一段階のBATファイルを実行する。
• powershell -WindowStyle Hidden -NonInteractive -NoProfile -ExecutionPolicy Bypass -Command "{ProcessStartInfoを用いて非表示で再実行された第一段階のBAT}" → 非表示のウインドウで自身を再実行する（第一段階）。
• powershell -NoProfile -WindowStyle Hidden -ExecutionPolicy Bypass -File "%User Temp%\khost_{ランダム}.ps1" → ペイロードランチャーを起動し、OmniCascadeインジェクターとRATを読み込んでプロセスホローイングを実行する。
• %System%\csc.exe /noconfig /fullpaths @"%User Temp%\{ランダム}\{ランダム}.cmdline" → インラインで記述されたRunPE用のP/Invoke宣言を、一時的な.NET DLLへコンパイルするためにAdd-Typeから呼び出されるC#コンパイラ。
• %System%\cvtres.exe /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%User Temp%\{ランダム}.tmp" "%User Temp%\{ランダム}\{ランダム}.res" → csc.exeの子プロセスとして動作するリソースコンバータ（標準的なコンパイラパイプラインによる生成物）。
• %Windows%\Microsoft.NET\Framework64\v4.0.30319\CasPol.exe → プロセスホローイングの対象プロセス（一時停止状態で起動され、対象のメモリ領域がRATペイロードに上書きされる）。

その他

マルウェアは、以下を実行します。

• 可視状態での実行を回避するため、ProcessStartInfo.WindowStyle = Hiddenを用いて非表示のコンソール ウインドウ上で自身を再起動します。
• 初回実行とペイロード実行を区別するための「本番処理への移行判定」として、引数「ce5010f435」を用います。