BKDR_CENTERPOS.A
Windows
- マルウェアタイプ: バックドア型
- 破壊活動の有無: なし
- 暗号化: はい
- 感染報告の有無: はい
概要
トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。
トレンドマイクロは、2015年9月末、米国の中小企業を狙う新たなPOSマルウェアを確認しました。このマルウェアに感染したコンピュータは、マルウェアのバックドア活動によって感染したと考えられます。
マルウェアは、リモートサイトから他の不正プログラムにダウンロードされ、コンピュータに侵入します。
マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。 マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。
詳細
侵入方法
マルウェアは、リモートサイトから以下の不正プログラムによりダウンロードされ、コンピュータに侵入します。
- BAT_POSCENTER.A
自動実行方法
マルウェアは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリ値を追加します。
HKEY_LOCAL_MACHINE\System\CurrentControlSet\
Services\CenterPoint
ImagePath = "%Windows%\Microsoft .NET\Framework\{Version}\CenterPoint.exe"
HKEY_LOCAL_MACHINE\System\CurrentControlSet\
Services\CenterPoint
Description = "DHCP Handler"
マルウェアは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリキーを追加します。
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\CenterPoint
バックドア活動
マルウェアは、不正リモートユーザからの以下のコマンドを実行します。
- Uninstall itself
- Terminate C&C Communication
- Send Stolen Information Gathered
マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。
- http://{BLOCKED}k.com/2kj1h43.php
マルウェアは、コマンド＆コントロール（C&C）サーバに以下の情報を通知します。
- OS Version
- Computer name
- Malware version: 1.7
- Localhost name
- Victim GUID (Md5 encoded sting combination of Processor ID, Mac Address, Serial number)
- Card track data
- List of scanned processes
マルウェアが実行する不正リモートユーザからのコマンドは以下のとおりです。
- 自身のアンインストール
- コマンド＆コントロール（C&C）通信の終了
- 窃取した情報の送信
マルウェアがコマンド＆コントロール（C&C）サーバに通知する情報は以下のとおりです。
- オペレーティングシステム(OS)の情報
- コンピュータ名
- POSマルウェアのバージョン: 1.7
- ローカルのホスト名
- 感染コンピュータのGUID（MD5でエンコードされたプロセッサID、MACアドレス、シリアル番号の文字列の組み合わせ）
- カードトラック情報
- スキャンしたプロセスのリスト
マルウェアは、プロセスのメモリをスキャンし、トラック1 およびトラック2のカード情報を取得します。 マルウェアは以下のプロセスのスキャンをスキップします。
- explorer.exe
- chrome.exe
- firefox.exe
- iexplore.exe
- svchost.exe
- smss.exe
- csrss.exe
- wininit.exe
- steam.exe
- devenv.exe
- thunderbird.exe
- skype.exe
- services.exe
- dwm.exe
- dllhost.exe
- jusched.exe
- jucheck.exe
- lsass.exe
- winlogon.exe
- alg.exe
- wscntfy.exe
- taskmgr.exe
- spoolsv.exe
- QML.exe
- AKW.exe
- wdc.exe
- taskhost.exe
- searchindexer.exe
- lsm.exe
- igfxpers.exe
- igfxtray.exe
- hkcmd.exe
- sqlservr.exe
- sqlwriter.exe
- vmnat.exe
- vmnetdhcp.exe
- vmware-authd.exe
- vmware-hostd.exe
- vmware-tray.exe
- vmware-usbarbitrator64.exe
- vmware-usbarbitrator.exe
- vmware.exe
- audiodg.exe
- dfx.exe
- asldrsrv.exe
- gfnexsrv.exe
- jswpbapi.exe
- atkosd2.exe
- teamviewer_service.exe
- dmedia.exe
- hcontroluser.exe
- hcontrol.exe
- pestudio.exe
- smartassembly.exe
- rundll32.exe
- tpautoconnect.exe
- wuauclt.exe
- imapi.exe
- cmd.exe
- pidgin.exe
- conhost.exe
マルウェアは、以下の文字列を含む場合、プロセスのスキャンをスキップします。
- system
- system idle process
- idle
マルウェアは、ファイルバージョン情報の会社名、著作権、商標、製品名、ファイルの説明に以下の文字列が含まれる場合、プロセスのスキャンをスキップします。
- microsoft
- apple inc
- adobe systems
- intel corporation
- vmware
- mozilla
対応方法
手順 1
Windows XP、Windows Vista および Windows 7 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。
手順 2
Windowsをセーフモードで再起動します。
手順 3
「BKDR_CENTERPOS.A」 を作成またはダウンロードする不正なファイルを削除します。（註：以下のマルウェアもしくはアドウェア等がすでに削除されている場合は、本手順は行う必要はありません。）
- BAT_CENTERPOS.A
手順 4
このレジストリキーを削除します。
警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。
- In HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services
- CenterPoint
- CenterPoint
手順 5
コンピュータを通常モードで再起動し、最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、「BKDR_CENTERPOS.A」と検出したファイルの検索を実行してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。
ご利用はいかがでしたか？ アンケートにご協力ください