Trojan.PS1.LEMONDUCK.THDBHBA

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、感染コンピュータや感染ユーザから特定の情報を収集します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %System%\WindowsPowerShell\v1.0\{Random string}.exe -> copy of powershell.exe

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

マルウェアは、以下のプロセスを追加します。

• Set-MpPreference -DisableRealtimeMonitoring 1
• Add-MpPreference -ExclusionPath c:\
• Add-MpPreference -ExclusionProcess %System%\WindowsPowerShell\v1.0\powershell.exe
• Add-MpPreference -ExclusionProcess %System%\WindowsPowerShell\v1.0\{random string}.exe

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• Global\eLocalIf
• Global\eLocalKr

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Office\12.0\Outlook\
Security
ObjectModelGuard = 2

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Office\8.0\Outlook\
Security
ObjectModelGuard = 2

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
Microsoft\Office\{Office version}\
Outlook\Security
ObjectModelGuard = 2

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Office\ClickToRun\REGISTRY\
MACHINE\Software\Microsoft\
Office\{Office version}\Outlook\
Security
ObjectModelGuard = 2

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Office\ClickToRun\REGISTRY\
MACHINE\Software\Wow6432Node\
Microsoft\Office\{Office version}\
Outlook\Security
ObjectModelGuard = 2

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスし、不正なファイルをダウンロードして実行します。

• http://d.{BLOCKED}n.com/kr.bin?&{Computer Name}&{GUID}&{Mac address}
• http://d.{BLOCKED}n.com/if.bin?{Computer Name}&{GUID}&{Mac address}
• http://d.{BLOCKED}n.com/m6.bin?{Computer Name}&{GUID}&{Mac address} - if running in 64-bit
• http://d.{BLOCKED}n.com/m6g.bin?{Computer Name}&{GUID}&{Mac address} - if running in 64-bit and has Nvidia or AMD graphics card
• http://d.{BLOCKED}n.com/nvd.zip -> if running on 64-bit, has Nvidia graphics card, and %User Temp%\nvdg.dat does not exist on the machine

マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %User Temp%\if.bin
• %User Temp%\kr.bin
• %User Temp%\m6.bin -> if running in 64-bit
• %User Temp%\m6g.bin -> if running in 64-bit and has Nvidia or AMD graphics card
• %User Temp%\nvd.zip -> if running on 64-bit and has Nvidia graphics card and %User Temp%\nvdg.dat does not exist on the machine

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

情報漏えい

マルウェアは、以下の情報を収集します。

• Computer System Product UUID
• MAC Address
• Operating System
• Username
• Computer Domain Name
• System Uptime
• Graphics Card Name
• Graphics Card Memory
• Network, Removable, and Fixed Drives
• System Architecture (x64 or x86)

その他

マルウェアは、以下を実行します。

• Loads javascript stored in the following local address:
  • http://{BLOCKED}.0.0.1:43669/1/summary
• Downloads and executes powershell from the following addresses:
  • http://t{BLOCKED}n.com/report.jsp?&{Computer name}&{GUID}&{Mac address}&{Operating System}&{is 64bit}&{User Name}&{Domain}&{Available drives}&{Video Card Name}&{video card memory in GB}&{is admin}&{if.bin hash}&{m6.bin hash}&{kr.bin md5 hash}&{version of javascript loaded from local }&{IP of javascript loaded from local}&{hashrate of javascript loaded from local}&{system uptime}&{timestamp}&0.4