• Email
• Facebook
• Twitter
• Google+
• Linkedin

Backdoor.Win64.OYSTER.B

---

• マルウェアタイプ: バックドア型
• 破壊活動の有無: なし
• 暗号化: なし
• 感染報告の有無: はい

---

  概要

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。 マルウェアは、リモートサイトから他の不正プログラムにダウンロードされ、コンピュータに侵入します。

マルウェアは、ワーム活動の機能を備えていません。

マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。

---

  詳細

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、リモートサイトから以下の不正プログラムによりダウンロードされ、コンピュータに侵入します。

• Backdoor.Win64.OYSTER.A

感染活動

マルウェアは、ワーム活動の機能を備えていません。

バックドア活動

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• https://{BLOCKED}.{BLOCKED}.166.27

マルウェアは、コマンド＆コントロール（C&C）サーバに以下の情報を通知します。

• Computer Name

ルートキット機能

マルウェアは、ルートキット機能を備えていません。

その他

マルウェアは、以下を実行します。

• It checks whether the system is joined to a domain or in a workgroup.
• It checks for the existence of the following file:
  • %User Temp%\s01bafg
    • Contains an encrypted data used for decrypting fallback C&C servers if the malware fails to receive data from main C&C server.
• It reconnects to C&C server every 300 seconds.
• It deletes itself by executing the following processes:
  • cmd.exe /C ping 1.1.1.1 -n 1 -w 3000 > Nul & Del /f /q "{Malware Path}\{Malware Filename}"
  • schtasks.exe /Create /SC MINUTE /TN GoogleUpdateTask /TR "cmd.exe /C del "{Malware Path}\{Malware Filename}" && schtasks.exe /Delete /TN GoogleUpdateTask /F" /F

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

マルウェアは、脆弱性を利用した感染活動を行いません。

<補足>
侵入方法

マルウェアは、リモートサイトから以下の不正プログラムによりダウンロードされ、コンピュータに侵入します。

• Backdoor.Win64.OYSTER.A

バックドア活動

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• https://{BLOCKED}.{BLOCKED}.166.27

マルウェアは、コマンド＆コントロール（C&C）サーバに以下の情報を通知します。

• コンピュータ名

その他

マルウェアは、以下を実行します。

• 感染コンピュータがドメインまたはワークグループに参加しているかどうかを確認します。
• 以下のファイルの存在を確認します。
  • %User Temp%\s01bafg
    • 上記ファイルには、マルウェアがメインのC&Cサーバからデータを受信できない場合に、別のC&Cサーバに切り替えて復号するために使用する暗号化されたデータが含まれています。
• 300秒毎にC&Cサーバに再接続します。
• 以下のプロセスを実行して自身を削除します。
  • cmd.exe /C ping 1.1.1.1 -n 1 -w 3000 > Nul & Del /f /q "{マルウェアパス}\{マルウェアのファイル名}"
  • schtasks.exe /Create /SC MINUTE /TN GoogleUpdateTask /TR "cmd.exe /C del "{マルウェアパス}\{マルウェアのファイル名}" && schtasks.exe /Delete /TN GoogleUpdateTask /F" /F

---

  対応方法

ご利用はいかがでしたか？　アンケートにご協力ください