• Email
• Facebook
• Twitter
• Google+
• Linkedin

Backdoor.Win32.FARFLI.MRD

---

• マルウェアタイプ: バックドア型
• 破壊活動の有無: なし
• 暗号化:  
• 感染報告の有無: はい

---

  概要

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、実行後、自身を削除します。

マルウェアは、ワーム活動の機能を備えていません。

---

  詳細

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Windows%\arphaCrashReport.exe
• %System%\Tlctl.exe

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.. %System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

マルウェアは、以下のファイルを作成します。

• %System%\drivers\QAssist.sys -> Hide itself after execution

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

マルウェアは、以下のプロセスを追加します。

• %System%\cmd.exe /c ping -n 2 127.0.0.1 > nul && del %User Temp%\87322C~1.EXE > nul
• %System%\Tlctl.exe -auto
• %System%\Tlctl.exe -acsi
• %System%\PING.EXE ping -n 2 127.0.0.1

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

マルウェアは、実行後、自身を削除します。

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• Global\{random}=
• Global\%System%\Tlctl.exe -acsi
• Global\%System%\Tlctl.exe -auto

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

自動実行方法

マルウェアは、以下のサービスを追加し、実行します。

• • Service Name: 瑞昱声卡相关辅助程序
  • DisplayName = 瑞昱声卡相关辅助程序
  • ImagePath =: %System%\Tlctl.exe -auto
  • Description =: 瑞昱声卡相关辅助程序
• • Service Name: QAssist
  • DisplayName = QAssist
  • ImagePath = system32\DRIVERS\QAssist.sys
  • Hid_IgnoredImages= %System%\Services.exe

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

他のシステム変更

マルウェアは、インストールの過程で、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\Select
MarkTime = {Date Execution of the sample

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\QAssist
Start = 1

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\QAssist
ImagePath = system32\DRIVERS\QAssist.sys

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\QAssist
DisplayName = QAssist

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\QAssist
DependOnService = FltMgr

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\QAssist
SupportedFeatures = 3

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\QAssist
Hid_IgnoredImages = %System%\Services.exe

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\QAssist
Type = 2

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\QAssist
ErrorControl = 0

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\QAssist
Group = FSFilter Activity Monitor

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\QAssist
DebugFlags = 0

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\QAssist\Instances
DefaultInstance = QAssist Instance

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\QAssist\Instances\
QAssist Instance
Altitude = 370030

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\QAssist\Instances\
QAssist Instance
Flags = 0

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\瑞昱声卡相关辅助程序
Type = 16

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\瑞昱声卡相关辅助程序
Start = 2

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\瑞昱声卡相关辅助程序
ErrorControl = 0

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\瑞昱声卡相关辅助程序
ImagePath = %System%\Tlctl.exe -auto

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\瑞昱声卡相关辅助程序
DisplayName = 瑞昱声卡相关辅助程序

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\瑞昱声卡相关辅助程序
ObjectName = LocalSystem

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\瑞昱声卡相关辅助程序
Description = 瑞昱声卡相关辅助程序

感染活動

マルウェアは、ワーム活動の機能を備えていません。

情報漏えい

マルウェアは、以下の情報を収集します。

• Record videos of the victim's Desktop
• Computer Name
• Username
• Local Hostname
• Local socketname
• System Information
• Volume Information

情報収集

マルウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

• 151.{BLOCKED}.{BLOCKED}.133:80
• 154.{BLOCKED}.{BLOCKED}.25:80

その他

マルウェアは、脆弱性を利用した感染活動を行いません。

マルウェアは、以下を実行します。

• ％System％\ drivers \ QAssist.sysは、「％System％\ Tlctl.exe」および物理ファイルのプロセスの内容を隠すために使用されます。
• 32 bitまたは64 bit OSで実行されているかどうかを確認します。
  • 32bit OSで実行されている場合、32bitバージョンの「％System％\ drivers \ QAssist.sys」を作成します。
  • 64bit OSで実行されている場合、64bitバージョンの「％System％\ drivers \ QAssist.sys」を作成します。
• マルウェアは、以下のURLにクエリして、インターネットに接続しているかどうかを確認します。
  • 23.{BLOCKED}.{BLOCKED}.48:80
  • 23.{BLOCKED}.{BLOCKED}.42:80
• マルウェアは、以下のC＆Cをリッスンして、バックドアコマンドを取得します。
  • 47.{BLOCKED}.{BLOCKED}.233:80
  • 47.{BLOCKED}.{BLOCKED}.233:443
  • 151.{BLOCKED}.{BLOCKED}.133:80
  • 154.{BLOCKED}.{BLOCKED}.25:8080
• マルウェアは、以下のURLに接続して、C＆Cサーバを取得します。
  • http://www.taobao.com/help/getip.php
• マルウェアは、感染コンピュータ上で実行中のプロセスをリスト化し、以下の文字列がプロセス上で確認された場合は記録します。
  • 360tray.exe
  • 360
  • 360sd.exe
  • kxetray.exe
  • KSafeTray.exe
  • QQPCRTP.exe
  • QQ
  • HipsTray.exe
  • BaiduSd.exe
  • baiduSafeTray.exe
  • KvMonXP.exe
  • RavMonD.exe
  • QUHLPSVC.EXE
  • QuickHeal
  • mssecess.exe
  • cfp.exe
  • Comodo
  • SPIDer.exe
  • DR.WEB
  • acs.exe
  • Outpost
  • V3Svc.exe
  • V3
  • AYAgent.axe
  • avgwdsvc.exe
  • AVG
  • f-secure.exe
  • F-Secure
  • avp.exe
  • Mcshield.exe
  • egui.exe
  • NOD32
  • knsdtray.exe
  • TMBMSRV.exe
  • avcenter.exe
  • ashDisp.exe
  • rtvscan.exe
  • remupd.exe
  • vsserv.exe
  • BitDefender
  • PSafeSysTray.exe
  • PSafe
  • ad-watch.exe
  • K7TSecurity.exe
  • K7
  • UnThreat.exe
  • UnThreat
• マルウェアは、以下のバックドアコマンドを使用します。
  • システム情報の取得(プロセッサ名、OSアーキテクチャ)
  • 収集された情報の送信
  • ユーザアカウントの追加
  • シェルコマンドの実行
  • 制御コードをサービスとして送信
  • レジストリの作成、変更、削除
  • ホスト名の取得
  • リモートデスクトップ接続の設定
  • ファイルの作成
  • リモートデスクトップの接続および切断
  • スレッドの終了
  • ユーザアカウントの列挙
  • ローカルグループの一覧表示
  • ユーザアカウントおよびパスワードの取得
  • ユーザアカウントのパラメータの設定
  • リモートデスクトップセッションホスト上のセッションの一覧表示
  • リモートデスクトップセッションホスト上のセッションとして切断
• 不正活動を実行するために、バックドアは、サービスとして実行される必要があります。

マルウェアは、以下のスケジュールされたタスクを追加します。

• • タスク名:瑞昱声卡后台相关辅助程序
  • アクション: %Windows%\arphaCrashReport.exe
  • トリガ: At starup
  • 詳細: At System Startup - Trigger expires at 3015/15/02 8:00:00

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。)

<補足>
インストール

マルウェアは、以下のファイルを作成します。

• %System%\drivers\QAssist.sys → 実行後、自身の隠ぺい

情報漏えい

マルウェアは、以下の情報を収集します。

• 感染デスクトップの動画を記録
• コンピュータ名
• ユーザ名
• ローカルホスト名
• ローカルソケット名
• システム情報
• ボリューム情報

---

  対応方法

ご利用はいかがでしたか？　アンケートにご協力ください