Trojan.Win64.DEEFFACE.A

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ただし、情報公開日現在、このWebサイトにはアクセスできません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %AppDataLocal%\Programs\3CXDesktopApp\app\d3dcompiler_47.dll –> detected as Trojan.Win64.DEEFFACE.A
• %AppDataLocal%\Programs\3CXDesktopApp\app\ffmpeg.dll –> detected as Trojan.Win64.DEEFFACE.A

(註：%AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)

マルウェアは、以下の無害なファイルを作成します。

• %AppDataLocal%\Programs\3CXDesktopApp\3CXDesktopApp.exe -> Normal file being abused to load the the trojanized DLL
• %AppDataLocal%\Programs\3CXDesktopApp\Update.exe
• %AppDataLocal%\Programs\3CXDesktopApp\.installInfo.json
• %AppDataLocal%\Programs\3CXDesktopApp\3CXDesktopApp.VisualElementsManifest.xml
• %AppDataLocal%\Programs\3CXDesktopApp\app\3CXDesktopApp.VisualElementsManifest.xml
• %AppDataLocal%\Programs\3CXDesktopApp\app\3CXDesktopApp.exe
• %AppDataLocal%\Programs\3CXDesktopApp\app\LICENSE
• %AppDataLocal%\Programs\3CXDesktopApp\app\LICENSES.chromium.html
• %AppDataLocal%\Programs\3CXDesktopApp\app\Update.exe
• %AppDataLocal%\Programs\3CXDesktopApp\app\libEGL.dll
• %AppDataLocal%\Programs\3CXDesktopApp\app\libGLESv2.dll
• %AppDataLocal%\Programs\3CXDesktopApp\app\resources\app.asar.unpacked\dist\main\notifications_bindings.node
• %AppDataLocal%\Programs\3CXDesktopApp\app\resources\app.asar.unpacked\dist\main\robotjs.node
• %AppDataLocal%\Programs\3CXDesktopApp\app\version
• %AppDataLocal%\Programs\3CXDesktopApp\app\vk_swiftshader.dll
• %AppDataLocal%\Programs\3CXDesktopApp\app\vk_swiftshader_icd.json
• %AppDataLocal%\Programs\3CXDesktopApp\app\vulkan-1.dll
• %AppDataLocal%\Programs\3CXDesktopApp\app\manifest

(註：%AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスして自身のコンポーネントファイルをダウンロードします。

• http://{BLOCKED}ubusercontent.com/IconStorages/images/main/icon13.ico -> it retrieves C2 domains from this URL which it will try to connect to, to download other possible payloads

ただし、情報公開日現在、このWebサイトにはアクセスできません。

その他

マルウェアが自身の不正活動を実行するためには、以下のコンポーネントが必要になります。

• %AppDataLocal%\Programs\3CXDesktopApp\app\ffmpeg.dll –> detected as Trojan.Win64.DEEFFACE.A
• %AppDataLocal%\Programs\3CXDesktopApp\app\d3dcompiler_47.dll –> detected as Trojan.Win64.DEEFFACE.A

(註：%AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)

マルウェアは、以下を実行します。

• It sleeps before proceeding with its intended routines.
  
  • If the manifest file is present, it will sleep until the specified date
  • If not, it will the generate a date and sleep till the generated date