Virus.Win32.NAPWHICH.C

ウイルスは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ウイルスは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。 ウイルスは、特定のWebサイトにアクセスし、情報を送受信します。

ただし、情報公開日現在、このWebサイトにはアクセスできません。

侵入方法

ウイルスは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ウイルスは、以下のフォルダを追加します。

• %ProgramData%\Synaptics

(註：%ProgramData%フォルダは、マルチユーザーシステムにおいて任意のユーザがプログラムに変更を加えることができるプログラムファイルフォルダのバージョンです。これには、すべてのユーザのアプリケーションデータが含まれます。Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData" です。Windows Server 2003(32-bit)、2000(32-bit)、XPの場合、通常 "C:\Documents and Settings\All Users" です。 )

ウイルスは、以下のファイルを作成します。

• {Malware path}\._cache_{Malware name} (copy of original executable prior to its infection)
• %ProgramData%\Synaptics\Synaptics.exe (mother file)
• %System%\{Random characters}.exe

(註：%ProgramData%フォルダは、マルチユーザーシステムにおいて任意のユーザがプログラムに変更を加えることができるプログラムファイルフォルダのバージョンです。これには、すべてのユーザのアプリケーションデータが含まれます。Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData" です。Windows Server 2003(32-bit)、2000(32-bit)、XPの場合、通常 "C:\Documents and Settings\All Users" です。 . %System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

ウイルスは、以下のプロセスを追加します。

• {Malware path}\._cache_{Malware name}
• %ProgramData%\Synaptics\Synaptics.exe InjUpdate
• %System%\cmd.exe /c pause
• %System%\cmd.exe /c del {Malware path}\._cache_{Malware name} > nul

(註：%ProgramData%フォルダは、マルチユーザーシステムにおいて任意のユーザがプログラムに変更を加えることができるプログラムファイルフォルダのバージョンです。これには、すべてのユーザのアプリケーションデータが含まれます。Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData" です。Windows Server 2003(32-bit)、2000(32-bit)、XPの場合、通常 "C:\Documents and Settings\All Users" です。 . %System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

ウイルスは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• Synaptics2X
• FBsaFRkaHhUUGxoVFB0cKw==

自動実行方法

ウイルスは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
Synaptics Pointing Device Driver = %ProgramData%\Synaptics\Synaptics.exe

ウイルスは、以下のサービスを開始します。

• Service name: Abcdef Hijklmno Qrs
  Image path: %System%\{Random characters}.exe

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

ファイル感染

ウイルスは、以下の形式のファイルに感染します。

• .exe
• .xlsx (changed extension to .xlsm)

バックドア活動

ウイルスは、不正リモートユーザからの以下のコマンドを実行します。

• Get command line access
• Capture screenshot
• List all disks
• List folders
• Download and execute files
• Delete files
• Add guest users to net group
• Display message boxes
• Log keystrokes
• Get clipboard data
• Write to master boot record

ウイルスは、以下のWebサイトにアクセスし、情報を送受信します。

• http://freedns.{BLOCKED}d.org/api/?action=getdyndns&sha=a30fa98efc092684e8d1c5cff797bcc613562978
• xred.{BLOCKED}o.com:1199
• {BLOCKED}.{BLOCKED}.103.169:6380

ただし、情報公開日現在、このWebサイトにはアクセスできません。

ダウンロード活動

ウイルスは、以下のWebサイトにアクセスし、不正なファイルをダウンロードして実行します。

• https://docs.{BLOCKED}e.com/uc?id=0BxsMXGfPIZfSVlVsOGlEVGxuZVk&export
• https://www.{BLOCKED}x.com/s/n1w4p8gc6jzo0sg/SUpdate.ini?dl=1
• http://xred.{BLOCKED}.net/syn/SUpdate.ini
• https://docs.{BLOCKED}e.com/uc?id=0BxsMXGfPIZfSVzUyaHFYVkQxeFk&export=download
• https://www.{BLOCKED}x.com/s/zhp1b06imehwylq/Synaptics.rar?dl=1
• http://xred.{BLOCKED}.net/syn/Synaptics.rar
• https://docs.{BLOCKED}e.com/uc?id=0BxsMXGfPIZfSTmlVYkxhSDg5TzQ&export=download
• https://www.{BLOCKED}x.com/s/fzj752whr3ontsm/SSLLibrary.dll?dl=1
• http://xred.{BLOCKED}.net/syn/SSLLibrary.dll

ウイルスは、以下のファイル名でダウンロードしたファイルを保存します。

• %User Temp%\{Random characters}.ini

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

ただし、情報公開日現在、このWebサイトにはアクセスできません。

情報漏えい

トロイの木馬化されたアプリケーションが実行されると、[Malware]は、以下の情報を収集します。

• OS information
• Location of %ProgramData% folder
• Dropped file and folder name
• Flag to indicate if malware is executed as administrator
• Malware version
• Keylogged information
• Clipboard data

(註：%ProgramData%フォルダは、マルチユーザーシステムにおいて任意のユーザがプログラムに変更を加えることができるプログラムファイルフォルダのバージョンです。これには、すべてのユーザのアプリケーションデータが含まれます。Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData" です。Windows Server 2003(32-bit)、2000(32-bit)、XPの場合、通常 "C:\Documents and Settings\All Users" です。 )

情報収集

ウイルスは、SMTPを用いて、自身が収集した情報を以下のEメールアドレスに送信します。

• {BLOCKED}ne2@gmail.com
• {BLOCKED}ne3@gmail.com

その他

ウイルスは、以下を実行します。

• It may enable or disable remote desktop connections through manipulating the following registry:
  • HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\fDenyTSConnections

マルウェアは、以下のパラメータを受け取ります。

• InjUpdate

＜補足＞

インストール

ウイルスは、以下のファイルを作成します。

• {ウイルスのパス}\._cache_{ウイルス名} (感染する前の元の実行ファイルのコピー)
• %ProgramData%\Synaptics\Synaptics.exe (マザーファイル)
• %System%\{ランダムな文字}.exe

ウイルスは、以下のプロセスを追加します。

• {ウイルスのパス}\._cache_{ウイルス名}
• %ProgramData%\Synaptics\Synaptics.exe InjUpdate
• %System%\cmd.exe /c pause
• %System%\cmd.exe /c del {ウイルスのパス}\._cache_{ウイルス名} > nul

自動実行方法

ウイルスは、以下のサービスを開始します。

• サービス名: Abcdef Hijklmno Qrs
• イメージパス: %System%\{ランダムな文字}.exe

ファイル感染

ウイルスは、以下の形式のファイルに感染します。

• .exe
• .xlsx (拡張子を「.xlsm」に変更する)

バックドア活動

ウイルスは、不正リモートユーザからの以下のコマンドを実行します。

• コマンドラインへのアクセス
• スクリーンショットの取得
• ディスクの一覧表示
• フォルダの一覧表示
• ファイルのダウンロードと実行
• ファイルの削除
• ネットグループへのゲストユーザの追加
• メッセージボックスの表示
• キー入力操作の記録
• クリップボードデータの取得
• マスターブートレコードへの書き込み

ダウンロード活動

ウイルスは、以下のファイル名でダウンロードしたファイルを保存します。

• %User Temp%\{ランダムな文字}.ini

情報漏えい

トロイの木馬化されたアプリケーションが実行されると、ウイルスは、以下の情報を収集します。

• OS情報
• %ProgramData%フォルダの場所
• ドロップされたファイルとフォルダの名前
• マルウェアが管理者として実行されたかどうかを示すフラグ
• ウイルスのバージョン
• キーロガー情報
• クリップボードのデータ

その他

ウイルスは、以下を実行します。

• 以下のレジストリを操作して、リモートデスクトップ接続を有効または無効にします。
  • HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\fDenyTSConnections