Trojan.Win64.NUKESPED.YXBB-B

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。 マルウェアは、他のマルウェアに作成され、コンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、以下のマルウェアに作成され、コンピュータに侵入します。

• Trojan.Win32.NUKESPED.YXBB-A

インストール

マルウェアは、以下のフォルダを追加します。

• %Program Files%\UnionCryptoTrader
• %Program Files%\UnionCryptoTrader\platforms
• %AppDataLocal%\UnionCryptoTrader

(註：%Program Files%フォルダは、デフォルトのプログラムファイルフォルダです。C:\Program Files in Windows 2000(32-bit)、Server 2003(32-bit)、XP、Vista(64-bit)、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files"です。また、Windows XP(64-bit)、Vista(64-bit)、7(64-bit)、8(64-bit)、8.1(64-bit)、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files（x86）" です。. %AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)

マルウェアは、以下のファイルを作成します。

• %Program Files%\UnionCryptoTrader\blackbird.dll
• %Program Files%\UnionCryptoTrader\curl-ca-bundle.crt
• %Program Data%\regid.2018-06.vip.unioncrypto_{Random Characters}.swidtag
• %System Root%\Users\All Users\regid.2018-06.vip.unioncrypto_{Random Characters}.swidtag
• %Program Files%\UnionCryptoTrader\regid.2018-06.vip.unioncrypto_{Random Characters}.swidtag
• %Program Files%\UnionCryptoTrader\config.txt -> UnionCryptoTrader configuration file
• %Program Files%\UnionCryptoTrader\UnionCryptoTrader.exe -> detected as Trojan.Win64.APPLEJEUS.YEBB-A
• %AppDataLocal%\UnionCryptoTrader\UnionCryptoUpdater.exe -> detected as Trojan.Win64.NUKESPED.YXBB-A
• %Desktop%\UnionCryptoTrader.lnk -> shortcut to UnionCryptoTrader.exe

マルウェアは、以下の無害なファイルを作成します。

• %Program Files%\UnionCryptoTrader\chartdir60.dll
• %Program Files%\UnionCryptoTrader\LIBCURL.DLL
• %Program Files%\UnionCryptoTrader\libeay32.dll
• %Program Files%\UnionCryptoTrader\Qt5Core.dll
• %Program Files%\UnionCryptoTrader\Qt5Gui.dll
• %Program Files%\UnionCryptoTrader\Qt5Widgets.dll
• %Program Files%\UnionCryptoTrader\sqlite3.dll
• %Program Files%\UnionCryptoTrader\ssleay32.dll
• %Program Files%\UnionCryptoTrader\platforms\qwindows.dll
• %Program Files%\UnionCryptoTrader\platforms\qwindowsd.dll

(註：%Program Files%フォルダは、デフォルトのプログラムファイルフォルダです。C:\Program Files in Windows 2000(32-bit)、Server 2003(32-bit)、XP、Vista(64-bit)、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files"です。また、Windows XP(64-bit)、Vista(64-bit)、7(64-bit)、8(64-bit)、8.1(64-bit)、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files（x86）" です。)

自動実行方法

マルウェアは、作成されたコンポーネントをシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\UnionCryptorUpdater
ImagePath = %AppDataLocal%\UnionCryptoUpdater.exe

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\UnionCryptorUpdater
Description = Automatically installs updates for Union Crypto Trader

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\UnionCryptorUpdater
DisplayName = Union Crypto Trading Updater Service

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\UnionCryptorUpdater
Type = 10

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\UnionCryptorUpdater
Start = 2

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\UnionCryptorUpdater
ErrorControl = 1

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\UnionCryptorUpdater
ObjectName = LocalSystem

その他

マルウェアは、以下を実行します。

• It displays the following images: