Trojan.Win32.VALLEYRAT.K

マルウェアは、他のマルウェアに作成されるか、脅威あるWebサイトからユーザが言ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、情報収集する機能を備えていません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、脅威のあるWebサイトからユーザが言ってダウンロードすることによりコンピューターに侵入します。

インストール

マルウェアは、以下のフォルダを追加します。

• %Public%\WindowsApps\{ランダム}
• %ProgramData%\{ランダム}

(注：%Public% フォルダは、すべてのユーザ共通のファイルまたはフォルダのリポジトリとして機能するフォルダです。Windows Vista、7、8の場合、通常 "C:\Users\Public" です。 %ProgramData% フォルダは、マルウェアサービスにおいて任意のユーザがプログラムに変更を加えることができるプログラムファイルフォルダのバジョンです。ここには、すべてのユーザのアプリケーションデータが含まれます。Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData" です。Windows Server 2003(32-bit)、2000(32-bit)、XPの場合、通常 "C:\Documents and Settings\All Users" です。 )

マルウェアは、以下のファイルを作成します。

• %Public%\WindowsApps\{ランダム}\PdFcoRE8.dLL → セルフコピー
• %Public%\WindowsApps\{ランダム}\Microsoft.BingSearch.exe → サイドロードされた PdFcoRE8.dLL を実行するためにリネームして使用される正当なホストバイナリのコピー
• %Public%\WindowsApps\{ランダム}\{ランダム}.{ランダム} → カーネルレベルの BYOVD プロセス終了を実行するために、リソース EULA_es から抽出された脆弱な 64 ビットカーネルドライバ (ardrv.sys / OPSWAT AppRemover Driver)
• %ProgramData%\{ランダム}\pdfcorE8.Dll.rtf → ステージング中に作成される一時的な中間ファイル。その後削除されます
• %ProgramData%\{ランダム}\pdfcorE8.Dll → 権限昇格したサイドロード用にステージングされた、復号化されたコアリモートアクセス Trojan (RAT) ペイロード（属性は「隠し」および「読み取り専用」に設定され、Backdoor.Win32.VALLEYRAT.J として検出されます）
• %ProgramData%\{ランダム}\{ランダム}.exe → ProgramData にドロップされ、2 回目の UAC 権限昇格バイパスルーチン中に呼び出されるホストバイナリのコピー（属性は「隠し」および「読み取り専用」に設定されています）
• %ProgramData%\{Machine-SID}.admx → 被害ホストの Machine SID から派生し、管理用テンプレート拡張子 (.admx) で偽装された、永続的な設定およびビーコンキャッシュファイル
• %User Temp%\Direct ErrorLog.txt → 正当なアプリケーションログをシミュレートし、サイドロードを隠蔽するために作成されたデコイエラーログファイル
• %User Temp%\CMD.EXE → ComputerDefaults.exe を起動するために使用される Windows コマンドプロセッサの一時コピー。その後削除されます
• %User Temp%\{ランダム}.EXE → バックグラウンド実行に使用される一時的なステージング実行可能ラッパー

マルウェアは、以下のプロセスを追加します。

• {host loader}.exe → 初期の権限のないホストプロセス。サイドロードされた PdFcoRE8.dLL を実行し、%Public%\WindowsApps\{ランダム}\ をステージングし、ms-settings をハイジャックし、ComputerDefaults.exe を実行して Microsoft.BingSearch.exe を起動し、終了します
• "%Public%\WindowsApps\{ランダム}\Microsoft.BingSearch.exe" → 1 回目の ComputerDefaults.exe 呼び出しを介して起動される権限昇格した中間ホストプロセス。ardrv ドライバをドロップして登録し、%ProgramData%\{Machine-SID}.admx をドロップし、ProgramData ファイルをステージングし、ms-settings UAC ハイジャックを ProgramData 実行ファイルに向くように再設定し、CMD.EXE を介して再度 ComputerDefaults.exe を実行します
• "%System%\cmd.exe" /c "%System%\ComputerDefaults.exe" → バックグラウンドで ComputerDefaults.exe を起動するために使用されるコマンドプロセッサのコマンドライン
• "%System%\ComputerDefaults.exe" → チェーン内で 2 回悪用される自動権限昇格 Windows ユーティリティ（1 回目は {host loader}.exe によって Microsoft.BingSearch.exe を起動し、2 回目は Microsoft.BingSearch.exe によって %ProgramData%\{ランダム}\{ランダム}.exe を起動するため）。ユーザに UAC の同意を求めることなく実行されます
• "%ProgramData%\{ランダム}\{ランダム}.exe" → 2 回目の ComputerDefaults.exe 呼び出しを介して起動される永続的なホストプロセス。昇格した権限で実行され、pdfcorE8.Dll（Backdoor.Win32.VALLEYRAT.J として検出されます）をサイドロードします

その他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\{Machine-SID}\
{Machine-SID}
(Default) = {16進数エンコードされた設定文字列}

HKEY_CURRENT_USER\Software\Classes\
ms-settings\Shell\open\
command
(Default) = {バイナリへのパス} → `ComputerDefaults.exe` を起動して自動昇格をトリガーし、UAC プロンプトを表示せずに指定されたバイナリを昇格した管理者権限で実行します。その後、侵害の指標を削除するために `ms-settings` キー構造を削除します

感染活動

マルウェアは、以下のドライバ内部に自身のコピーを作成します。

• %Public%\WindowsApps\{ランダム}

(注：%Public% フォルダは、すべてのユーザ共通のファイルまたはフォルダのリポジトリとして機能するフォルダです。Windows Vista、7、8の場合、通常 "C:\Users\Public" です。)

ルートキット機能

マルウェアは、ルートキット機能を備えていません。

情報漏えい

マルウェアは、情報収集する機能を備えていません。

その他

マルウェアは、以下を実行します。

• 暗号化された脆弱な 64 ビットカーネルドライバ (`ardrv.sys`) を抽出し、ランダムなファイル名と拡張子で `%Public%\WindowsApps\{ランダム}\{ランダム}.{ランダム}` にドロップすることで、Bring Your Own Vulnerable Driver (BYOVD) 機能を活用します。また、以下の詳細でファイルをカーネルドライバサービスとして登録します:
  • サービス名: ardrv
  • 表示名: ardrv
  • タイプ: カーネルドライバ (SERVICE_KERNEL_DRIVER)
  • 開始タイプ: 要求開始 (SERVICE_DEMAND_START)
  • バイナリパス: `%Public%\WindowsApps\{ランダム}\{ランダム}.{ランダム}`
• 初回 DLL ロード時に、影響を受けたマシンのローカルシステム日付を組み込まれたキャンペーン期限しきい値 (`$@2026-09-24#`) と照合して検証します。ローカルシステム日付が 2026 年 9 月 24 日以前である場合にのみ実行を続行し、それ以外の場合は以下を表示します: