• Email
• Facebook
• Twitter
• Google+
• Linkedin

Backdoor.Win32.REMCOS.USMANEAGBW

---

• マルウェアタイプ: バックドア型
• 破壊活動の有無: なし
• 暗号化: はい
• 感染報告の有無: はい

---

  概要

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

---

  詳細

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のフォルダを追加します。

• %Application Data%\remcos\

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Application Data%\remcos\remcos.exe

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

マルウェアは、以下のファイルを作成します。

• %User Temp%\install.vbs - execute the dropped malware copy
• %Application Data%\remcos\logs.dat - record of user activity\keystrokes

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

マルウェアは、以下のプロセスを追加します。

• %Program Files%\Internet Explorer\iexplore.exe

(註：%Program Files%フォルダは、デフォルトのプログラムファイルフォルダです。C:\Program Files in Windows 2000(32-bit)、Server 2003(32-bit)、XP、Vista(64-bit)、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files"です。また、Windows XP(64-bit)、Vista(64-bit)、7(64-bit)、8(64-bit)、8.1(64-bit)、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files（x86）" です。)

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• Remcos-6PE8QV
• Remcos_Mutex_Inj

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
remcos = "%Application Data%\remcos\remcos.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
Userinit = "%System%\userinit.exe, %Application Data%\remcos\remcos.exe"

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Remcos-{random}
exepath = "{hex values}"

HKEY_CURRENT_USER\Software\Remcos-{random}
licence = "{random}"

HKEY_CURRENT_USER\Software\Remcos-{random}
Inj = 1

バックドア活動

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• {BLOCKED}.{BLOCKED}.153.18

情報漏えい

マルウェアは、以下の情報を収集します。

• Computer name
• Username
• User profile
• User domain
• Home Drive
• Logon Server
• Processor Architecture
• Windows Version
• System Type (x64, x86)
• User access (if admin or not)
• Computer Memory Information (RAM, Virtual memory)

その他

このマルウェアのコードから、マルウェアは、以下の機能を備えています。

• Copy Directory
• Delete Directory
• Create Directory
• Move Directory
• Get Directory Information
• Get Drive Information\Status
• Get Mapped Drives
• Delete Mapped Drives
• Add Mapped Drives
• Dummy Speed Test
• Execute a command
• Run a process
• Change File Directory
• Copy File
• Link Files (Hard Link)
• Create Shortcut
• Delete File
• Check File Existence
• Enumerate Files
• Get File Attributes (Size, shortname, longname)
• Get File Location
• Delete File
• Empty Recycle Bin
• Modify File
• Install File
• Open File
• Read File
• Modify .ini files
• Activate Keylogger
• Perform Ping
• Display Messagebox
• Get Running Processes
• Terminate a Process
• Check if a process is running
• Delete Registry Key\Entry
• Enumerate Registry Key\Entry
• Modify\Add Registry Entry
• Upload Files
• Download Files
• Shutdown Affected Machine
• Put Machine to Sleep
• Play Sound
• Get active window
• Close a window
• Check if Window is open
• List windows
• Minimize windows
• Set window on top
• Move Window
• Wait for a window to be active
• Check user cookies and cache
• Clear Cookies and Cache
• Run the Command Prompt (CMD)
• Flash a window
• Obtain user Logs
• Capture Image
• Capture Audio
• Open web browser
• Send keyboard input
• Send mouse clicks
• Disable mouse\keyboard inputs
• Write text to clipboard
• Receive text from clipboard
• Clear clipboard data
• Check for CD drives
• Acquire User Passwords and Login Data

---

  対応方法

ご利用はいかがでしたか？　アンケートにご協力ください