BKDR_SINOWAL.COP

2013年11月15日

解析者: Anthony Joe Melgarejo

別名:

BDS/Sinowal.thd (Antivir), W32/Sinowal.THD!tr.bdr (Fortinet), Backdoor.Win32.Sinowal (Ikarus), Backdoor.Sinowal (VBA32)

プラットフォーム:

Windows 2000, Windows Server 2003, Windows XP (32-bit, 64-bit), Windows Vista (32-bit, 64-bit), Windows 7 (32-bit, 64-bit)

危険度:

ダメージ度:

感染力:

感染確認数:

情報漏えい:

マルウェアタイプ: バックドア型
破壊活動の有無: なし
暗号化: はい
感染報告の有無: はい

概要

感染経路インターネットからのダウンロード

マルウェアは、リモートサイトから他のマルウェア、グレイウェアまたはスパイウェアにダウンロードされ、コンピュータに侵入します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

詳細

ファイルサイズ 179,200 bytes

タイプ EXE

メモリ常駐はい

発見日 2013年10月29日

ペイロード URLまたはIPアドレスに接続, 情報収集, ファイルのダウンロード

侵入方法

マルウェアは、リモートサイトから他のマルウェア、グレイウェアまたはスパイウェアにダウンロードされ、コンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

%All Users Profile%\Application Data\{random number 1}\{random number}.dat - contains hex value of its file name
%All Users Profile%\Application Data\{random number 1}\{random number}.dll - contains hex value of its file name
%All Users Profile%\Application Data\{random number 1}\{dat name}.dat - config file
%All Users Profile%\Application Data\{random number 1}\{dll name}.dll - also detected as BKDR_SINOWAL.COP

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

PJYTYOCEBHBSCAJFEJTLTHSCBHEBY
KDACHIQCQPAXYBVCXUPYXFYCSQWR
KDACHIQCQPAXYBVCXUPYXFYCSQWR-{number}

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CLASSES_ROOT\CLSID\{GUID}\
InprocServer32
(Default) = "%All Users Profile%\Application Data\{random number 1}\{dll name}.dll"

HKEY_CURRENT_USER\Software\Classes\
CLSID\{GUID}\InprocServer32
(Default) = "%All Users Profile%\Application Data\{random number 1}\{dll name}.dll"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\ShellServiceObjectDelayLoad
{value name} = "{GUID}"

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows NT\CurrentVersion\Windows
AppInit_DLLs = "%All Users Profile%\Application Data\{random number 1}\{dll name}.dll"

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows NT\CurrentVersion\Windows
LoadAppInitDLLs = "1"

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows NT\CurrentVersion\Windows
RequireSignedAppInit_DLLs = "0"

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

Download arbitrary files

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

http://{BLOCKED}stingmultiformat.org/search2?fr=altavista&itag=ody&q=443b40b41d25b91dd9a4104278083c14%2Cf4f535b835f5429b&kgs=1&kls=0&p={parameter}
http://{BLOCKED}.{BLOCKED}.109.201/search2?fr=altavista&itag=ody&q=443b40b41d25b91dd9a4104278083c14%2Cf4f535b835f5429b&kgs=1&kls=0&p={parameter}
http://www.{BLOCKED}rtsgm.com/search2?fr=altavista&itag=ody&q=443b40b41d25b91dd9a4104278083c14%2Cf4f535b835f5429b&kgs=1&kls=0&p={parameter}

マルウェアは、コマンド＆コントロール（C&C）サーバに以下の情報を通知します。

List of running processes
Applications installed in the system (found in HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall)

ただし、情報公開日現在、このサーバには接続できません。

その他

マルウェアは、以下のブラウザのプロセス上でプログラム "Trusteer Rapport" のスレッドが実行されていることを確認すると、そのスレッドを停止します。

opera.exe
chrome.exe
firefox.exe
iexplore.exe

マルウェアは、システム上でファイル "avgui.exe" が実行されていると、以下の内容が含まれたメッセージボックスを表示します。

Title: Thank you
Message: Thank you for using AVG Product!

{dll name}は、以下のいずれかです。

mswd
mscc
msdr
msdd
msee
wsse
msseedir
lmbd
mmdd

{dat name}は、以下のいずれかです。

jdlr
elct
nudr
werr
qnud
xdor
ccdxmmde
vvve
kdkd
colu
uloc
drss
rrxx
du44
xes2
ii33
ned9
i3u4

{GUID}は、以下のいずれかです。

{A12BEDCC-A901-4203-B4F2-ADCB957D1887}
{212B3DCC-A901-4203-B4F2-ADCB957D1887}
{312BFDCE-A901-4203-B4F2-ADCB957D1887}
{F12BE2CC-A901-4203-B4F2-ADCB957D1887}
{312BED3C-A901-4203-B4F2-ADCB957D1887}
{118BEDCC-A901-4203-B4F2-ADCB957D1887}

{value name}は、以下のいずれかです。

MSCPY
CopierMircosoft
MSCopy
MicrosoftCopy
WindowsCopy
Copier

マルウェアは、以下のコマンドを使用して自身のDLLコンポーネントを実行します。

%System%\cmd.exe /c %System%\regsvr32.exe /s "%All Users Profile%\Application Data\{dll name}.dll"

マルウェアが作成する以下のファイルは、自身のファイル名のhex値を含みます。

%All Users Profile%\Application Data\{random number 1}\{random number}.dat
%All Users Profile%\Application Data\{random number 1}\{random number}.dll

マルウェアが作成する以下のファイルは、環境設定ファイルです。

%All Users Profile%\Application Data\{random number 1}\{dat name}.dat

マルウェアが作成する以下のファイルも、「BKDR_SINOWAL.COP」として検出されます。

%All Users Profile%\Application Data\{random number 1}\{dll name}.dll

マルウェアが実行するコマンドは、以下のとおりです。

任意のファイルのダウンロード

マルウェアがコマンド＆コントロール（C&C）サーバに通知する情報は、以下のとおりです。

実行中のプロセスのリスト
以下に存在するシステムにインストールされたアプリケーション
- HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall
対応方法

対応検索エンジン: 9.700
初回 VSAPI パターンバージョン 10.394.02
初回 VSAPI パターンリリース日 2013年11月6日
VSAPI OPR パターンバージョン 10.395.00
VSAPI OPR パターンリリース日 2013年11月7日
手順 1
Windows XP、Windows Vista および Windows 7 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。
手順 2
このマルウェアのパス名およびファイル名を確認します。
最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用いてウイルス検索を実行してください。「BKDR_SINOWAL.COP」で検出したパス名およびファイル名を確認し、メモ等をとってください。
手順 3
回復コンソールを使用して、BKDR_SINOWAL.COP として検出されるファイルを確認し、削除します。
[ 詳細 ]
[ 戻る ]
マルウェアのファイルの確認および削除：
1. 以下の方法でWindowsの回復コンソールを使用し、不正プログラムを削除してください。
2. Windows のインストールCDを使用して、コンピュータを再起動します。
3. [セットアップへようこそ] 画面で、修復の R キーを押します。
4. キーボードを選択します。
5. 修復する Windows がインストールされているドライブを選択します（通常は 1 を選択します）。
6. 管理者のパスワードを入力し、Enter キーを押します。管理者パスワードがない場合は、何も入力せずに Enter キーを押します。
7. コマンドプロンプトに、上記で確認した不正プログラムが検出されたフォルダ名を入力します。
8. 以下のコマンドを入力し、Enter キーを押します。
  DEL ＜上記で確認した不正プログラムのパス名およびファイル名＞
  ※DEL と＜上記で確認した不正プログラムのパス名およびファイル名＞の間に半角スペースを入れてください。
9. 同様の方法で、上記で確認した不正プログラムのファイルをすべて削除してください。
10. コマンドプロンプトに EXIT と入力し、コンピュータを再起動してください。
手順 4
このレジストリ値を削除します。
[ 詳細 ]
[ 戻る ]

警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。
- In HKEY_CLASSES_ROOT\CLSID\{GUID}\InprocServer32
  - (Default) = "%All Users Profile%\Application Data\{random number 1}\{dll name}.dll"
- In HKEY_CURRENT_USER\Software\Classes\CLSID\{GUID}\InprocServer32
  - (Default) = "%All Users Profile%\Application Data\{random number 1}\{dll name}.dll"
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad
  - {value name} = "{GUID}"
- In HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Windows
  - AppInit_DLLs = "%All Users Profile%\Application Data\{random number 1}\{dll name}.dll"
- In HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Windows
  - LoadAppInitDLLs = "1"
- In HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Windows
  - RequireSignedAppInit_DLLs = "0"
このマルウェアが追加したレジストリ値の削除：
1. 「レジストリエディタ」を起動します。
  [スタート]-[ファイル名を指定して実行]を選択し、regedit と入力し、[OK]をクリックします。
  ※regedit は半角英数字で入力する必要があります（大文字／小文字は区別されません）。
2. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
  HKEY_CLASSES_ROOT>CLSID>{GUID}>InprocServer32
3. 右側のパネルで以下のレジストリ値を検索し、削除します。
  (Default) = "%All Users Profile%\Application Data\{random number 1}\{dll name}.dll"
4. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
  HKEY_CURRENT_USER>Software>Classes>CLSID>{GUID}>InprocServer32
5. 右側のパネルで以下のレジストリ値を検索し、削除します。
  (Default) = "%All Users Profile%\Application Data\{random number 1}\{dll name}.dll"
6. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
  HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows>CurrentVersion>ShellServiceObjectDelayLoad
7. 右側のパネルで以下のレジストリ値を検索し、削除します。
  {value name} = "{GUID}"
8. 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
  HKEY_LOCAL_MACHINE>Software>Microsoft>Windows NT>CurrentVersion>Windows
9. 右側のパネルで以下のレジストリ値を検索し、削除します。
  AppInit_DLLs = "%All Users Profile%\Application Data\{random number 1}\{dll name}.dll"
10. 右側のパネルで以下のレジストリ値を検索し、削除します。
  LoadAppInitDLLs = "1"
11. 右側のパネルで以下のレジストリ値を検索し、削除します。
  RequireSignedAppInit_DLLs = "0"
12. 「レジストリエディタ」を閉じます。
手順 5
以下のファイルを検索し削除します。
[ 詳細 ]
[ 戻る ]
コンポーネントファイルが隠しファイル属性の場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。
- %All Users Profile%\Application Data\{random number 1}\{random number}.dat - contains hex value of its file name
- %All Users Profile%\Application Data\{random number 1}\{random number}.dll - contains hex value of its file name
- %All Users Profile%\Application Data\{random number 1}\{dat name}.dat - config file
マルウェアのコンポーネントファイルの削除：
1. [スタート]-[検索]-[ファイルとフォルダすべて]を選択します。
  註：Windows のバージョンによって異なります。
2. [ファイル名のすべてまたは一部]に以下を入力してください。
  
  %All Users Profile%\Application Data\{random number 1}\{random number}.dat - contains hex value of its file name
  %All Users Profile%\Application Data\{random number 1}\{random number}.dll - contains hex value of its file name
  %All Users Profile%\Application Data\{random number 1}\{dat name}.dat - config file
3. [探す場所]の一覧から[マイコンピュータ]を選択し、[検索]を押します。
4. 検索が終了したら、ファイルを選択し、SHIFT+DELETE を押します。これにより、ファイルが完全に削除されます。
5. 残りのファイルに対して、このマルウェアのコンポーネントファイルの削除の手順2.）から4.）を繰り返してください。
手順 6
最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「BKDR_SINOWAL.COP」と検出したファイルはすべて削除してください。検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。

ご利用はいかがでしたか？　アンケートにご協力ください

BKDR_SINOWAL.COP

概要

詳細

対応方法