Trojan.Win32.SMOKELOADER.BF

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、特定のプロセスに作成したファイルを組み込みます。

マルウェアは、ワーム活動の機能を備えていません。

マルウェアは、バックドア活動の機能を備えていません。

マルウェアは、プロキシサーバとして活動する機能を備えていません。

マルウェアは、仮想環境内で実行されると、自身の活動を終了します。 マルウェアは、実行後、自身を削除します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Application Data%\xFFgPbPjc.exe
• %Application Data%\{random name generated from system information} -> copy of embedded file in the original malware sample

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

マルウェアは、以下のファイルを作成します。

• %Application Data%\{random name generated from system information} -> downloaded component
• %User Temp%\tmp{Random characters}.tmp -> XML file of scheduled task
• %User Temp%\44DA.tmp -> copy of ntdll.dll

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。. %User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• hEEGiYfYVPKLqPCGdBwOGnewhnI
• {Random hash from system information}

マルウェアは、以下のプロセスに作成したファイルを組み込みます。

• explorer.exe

マルウェアは、以下のプロセスにコードを組み込みます。

• explorer.exe

マルウェアは、感染コンピュータ上のメモリに以下のプロセスを確認すると、自身を終了します。

• qemu-ga.exe
• qga.exe
• windanr.exe
• vboxservice.exe
• vboxtray.exe
• vmtoolsd.exe
• prl_tools.exe

他のシステム変更

マルウェアは、以下のファイルを削除します。

• %Application Data%\{dropped copy with random name}:Zone.Identifier

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

感染活動

マルウェアは、ワーム活動の機能を備えていません。

バックドア活動

マルウェアは、バックドア活動の機能を備えていません。

ルートキット機能

マルウェアは、ルートキット機能を備えていません。

プロセスの終了

マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• OllyDbg.exe
• ProcessHacker.exe
• procmon.exe
• procexp.exe
• wireshark.exe
• autoruns.exe
• idaq.exe
• tcpview.exe

プロキシサーバ機能

マルウェアは、プロキシサーバとして活動する機能を備えていません。

情報漏えい

マルウェアは、以下の情報を収集します。

• Computer Name
• System Volume Information
• Internet Explorer version
• User Agent String
• User Name

情報収集

マルウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

• http://{BLOCKED}sky.net/

その他

マルウェアは、仮想環境内で実行されると、自身の活動を終了します。

マルウェアは、実行後、自身を削除します。

マルウェアは、以下の仮想環境やサンドボックスに関連したレジストリキーが感染コンピュータ内に存在していないかを確認します。

HKEY_LOCAL_MACHINE\System\CurrentControlSet\
Enum\IDE

HKEY_LOCAL_MACHINE\System\CurrentControlSet\
Enum\SCSI

マルウェアは、以下の仮想環境やサンドボックスに関連したフォルダやファイルが感染コンピュータ内に存在していないかを確認します。

• Checks filenames in the %System% and %System%\drivers directories for filenames with the following substrings and terminates itself if found:
  • vmci.s
  • vmusbm
  • vmmous
  • vm3dmp
  • vmrawd
  • vmmemcc
  • vboxgu
  • vboxsf
  • vboxmo
  • vboxvi
  • vboxdi
  • vioser

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

マルウェアは、自身がデバッグされていることを確認した場合、不正活動を実行しません。

以下のスケジュールされたタスクを追加します：

• Task Name: NvNgxUpdateCheckDaily_{{random values}-{random values}-{random values}-{random values}-{random values}}
• Trigger 1: At User Logon
• Trigger 2: Every 10 minutes starting from 11/30/1999 12:00 AM
• Action: Start program "%Application Data%\{dropped copy with random name}:
• Task Name: Updates\xFFgPbPjc
• Trigger and Actions: Specified in XML file "%User Temp%\tmp{Random characters}.tmp"

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。. %User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

＜補足＞
インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Application Data%\xFFgPbPjc.exe
• %Application Data%\{システム情報から生成されるランダムな名前} → オリジナルのマルウェア内に埋め込まれたファイルのコピー

マルウェアは、以下のファイルを作成します。

• %Application Data%\{システム情報から生成されるランダムな名前} → ダウンロードされたコンポーネント
• %User Temp%\tmp{ランダムな文字}.tmp → スケジュールされたタスクのXMLファイル
• %User Temp%\44DA.tmp → ntdll.dllのコピー

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• hEEGiYfYVPKLqPCGdBwOGnewhnI
• {システム情報からのランダムなハッシュ}

他のシステム変更

マルウェアは、以下のファイルを削除します。

• %Application Data%\{ランダムな名前を用いて作成されたコピー}:Zone.Identifier

情報漏えい

マルウェアは、以下の情報を収集します。

• コンピュータ名
• システムボリューム情報
• Internet Explorerのバージョン
• ユーザエージェント文字列
• ユーザ名

その他

マルウェアは、以下の仮想環境やサンドボックスに関連したフォルダやファイルが感染コンピュータ内に存在していないかを確認します。

• ％System％および％System％\driversディレクトリ内に以下の部分文字列を含むファイル名が存在するかどうかチェックします。確認した場合、自身を終了します。
  • vmci.s
  • vmusbm
  • vmmous
  • vm3dmp
  • vmrawd
  • vmmemcc
  • vboxgu
  • vboxsf
  • vboxmo
  • vboxvi
  • vboxdi
  • vioser

以下のスケジュールされたタスクを追加します：

• タスク名: NvNgxUpdateCheckDaily_{{ランダムな値}-{ランダムな値}-{ランダムな値}-{ランダムな値}-{ランダムな値}}
• トリガー１: ユーザログオン時
• トリガー２: １９９９年１１月３０日午前０時から１０分毎に開始
• アクション: プログラムの開始 "%Application Data%\{ランダムな名前を用いて作成されたコピー}:
• タスク名: Updates\xFFgPbPjc
• トリガーおよびアクション: XMLファイル"%User Temp%\tmp{ランダムな文字}.tmp"内に指定