Trojan.Win64.KGHSPY.ZKIH

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、実行後、自身を削除します。

マルウェアは、ワーム活動の機能を備えていません。

マルウェアは、バックドア活動の機能を備えていません。

ただし、情報公開日現在、このWebサイトにはアクセスできません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスを追加します。

• %Windows%\explorer.exe /root, %System%\cmd.exe → loads downloaded %User Temp%\uc.dll

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

マルウェアは、実行後、自身を削除します。

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Command Processor
AutoRun = rundll32.exe "%User Temp%\uc.dll", out & exit

感染活動

マルウェアは、ワーム活動の機能を備えていません。

バックドア活動

マルウェアは、バックドア活動の機能を備えていません。

ルートキット機能

マルウェアは、ルートキット機能を備えていません。

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスし、ファイルをダウンロードします。

• http://web.{BLOCKED}c.o-r.kr/wp-includes/css/dist/nux/home/?act=wbi&id={Computername}&ver={OS Architecture}
• http://web.{BLOCKED}c.o-r.kr/wp-includes/css/dist/nux/home/?act=paydb&id={Computername}&ver={OS Architecture}
• http://web.{BLOCKED}c.o-r.kr/wp-includes/css/dist/nux/home/?act=paydl&id={Computername}&ver={OS Architecture}
• http://web.{BLOCKED}c.o-r.kr/wp-includes/css/dist/nux/home/?act=sets&id={Computername}&ver={OS Architecture}
• http://web.{BLOCKED}c.o-r.kr/wp-includes/css/dist/nux/home/?act=ucd&id={Computername}&ver={OS Architecture}

マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %User Temp%\m.dll
• %User Temp%\ht.tr
• %User Temp%\sp.dll
• %User Temp%\s.dll
• %User Temp%\uc.dll

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

ただし、情報公開日現在、このWebサイトにはアクセスできません。

情報漏えい

マルウェアは、以下の情報を収集します。

• Username
• Computername
• OS Architecture
• Contents of the following file:
  • %User Temp%\w.x

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

情報収集

マルウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

• http://web.{BLOCKED}c.o-r.kr/wp-includes/css/dist/nux/home/up.php?id={Computername}

その他

マルウェアは、以下を実行します。

• 以下の場合に自身の不正活動を続行します。
  • splwow64.exeによってロードされた場合
  • URLがアクセス可能な場合
• 実行後、以下を削除します。
  • ファイル:
    • %User Temp%\m.dll
    • %User Temp%\ht.tr
    • %User Temp%\sp.dll
    • %User Temp%\s.dll
    • %User Temp%\uc.dll
    • %User Temp%\w.x
  • レジストリエントリ:
    • HKEY_CURRENT_USER\Software\Microsoft\Command Processor
      AutoRun = rundll32.exe "%User Temp%\uc.dll", out & exit

マルウェアは、脆弱性を利用した感染活動を行いません。

<補足＞
インストール

マルウェアは、以下のプロセスを追加します。

• %Windows%\explorer.exe /root, %System%\cmd.exe →ダウンロードされた%User Temp%\uc.dllをロードする

情報漏えい

マルウェアは、以下の情報を収集します。

• ユーザ名
• コンピュータネーム
• OSアーキテクチャ
• ファイル%User Temp%\w.xの内容