• Email
• Facebook
• Twitter
• Google+
• Linkedin

Trojan.BAT.LXRAT.B

---

• マルウェアタイプ: トロイの木馬型
• 破壊活動の有無: なし
• 暗号化:  
• 感染報告の有無: はい

---

  概要

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、ワーム活動の機能を備えていません。

マルウェアは、バックドア活動の機能を備えていません。

マルウェアは、情報収集する機能を備えていません。

---

  詳細

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %User Temp%\svc_{ランダム}_{ランダム}.ps1 → 非表示のコンソールウィンドウでBATを再生成する隠蔽再起動ヘルパースクリプト
• %User Temp%\{ランダム}.bat → 復号化された第2段階の内部ドロッパー。無効化された永続化コードとアクティブなPowerShellプロセスホローイングローダーを含む
• %User Temp%\volatile_module_{ランダム}{ランダム}{ランダム}.ps1 → LX-CLIENT.app RAT（Backdoor.MSIL.LXRAT.Aとして検出）を完全にメモリ内で復号化してリフレクティブロードし、プロセスホローイング（RunPE）を介してCasPol.exeに注入するPowerShellランチャー。

マルウェアは、以下のプロセスを追加します。

• cmd.exe /c find /c /v "" < "{マルウェアパス}\{マルウェアのファイル名}" -抽出オフセットを計算するためにBAT内の総行数をカウント
• cmd.exe /c findstr /n /C:"---BEGIN_PS---" "{マルウェアパス}\{マルウェアのファイル名}" -PowerShellペイロードマーカーの行番号を特定
• cmd.exe /c findstr /n /C:"---BEGIN_ENC---" "{マルウェアパス}\{マルウェアのファイル名}" -暗号化されたデータマーカーの行番号を特定
• powershell -NoProfile -ExecutionPolicy Bypass -Command "Get-Content '{マルウェアパス}\{マルウェアのファイル名}' -Tail {N} | Select-Object -First {M} | Set-Content '%User Temp%\svc_{ランダム}_{ランダム}.ps1' -Encoding UTF8" -行オフセットによって隠蔽再起動ヘルパースクリプトを抽出
• powershell -NoProfile -WindowStyle Hidden -ExecutionPolicy Bypass -File "%User Temp%\svc_{ランダム}_{ランダム}.ps1" -隠蔽再起動ヘルパーを実行し、第2段階のBATを復号化して起動
• cmd.exe /c "%User Temp%\{ランダム}.bat" __hidden -復号化された第2段階の内部BATを実行
• powershell -WindowStyle Hidden -NonInteractive -NoProfile -ExecutionPolicy Bypass -Command "{ProcessStartInfo経由で第2段階のBATを隠蔽再起動}" -第2段階が隠蔽ウィンドウで自身を再実行
• cmd.exe /c find /c /v "" < "%User Temp%\{ランダム}.bat" -第2段階が埋め込みブロック抽出のために自身の行数をカウント
• cmd.exe /c findstr /n /C:"---BEGIN_PS---" "%User Temp%\{ランダム}.bat" -第2段階が自身のPowerShellペイロードマーカーを特定
• powershell -NoProfile -WindowStyle Hidden -ExecutionPolicy Bypass -File "%User Temp%\volatile_module_{ランダム}{ランダム}{ランダム}.ps1" -ペイロードランチャーを実行（RATをロードしてプロセスホローイングを実行）
• %System%\csc.exe /noconfig /fullpaths @"%User Temp%\{ランダム}\{ランダム}.cmdline" -Add-Typeによって呼び出され、インラインRunPE P/Invoke宣言を一時的な.NET DLLにコンパイルするC#コンパイラ
• %System%\cvtres.exe /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%User Temp%\{ランダム}.tmp" "%User Temp%\{ランダム}\{ランダム}.res" -csc.exeのリソースコンバーター子プロセス（標準コンパイラパイプラインの成果物）
• %Windows%\Microsoft.NET\Framework64\v4.0.30319\CasPol.exe -プロセスホローイングのターゲット（一時停止状態で起動され、メモリがRATペイロードで置き換えられる）

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.. %Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

感染活動

マルウェアは、ワーム活動の機能を備えていません。

バックドア活動

マルウェアは、バックドア活動の機能を備えていません。

ルートキット機能

マルウェアは、ルートキット機能を備えていません。

情報漏えい

マルウェアは、情報収集する機能を備えていません。

その他

マルウェアは、以下を実行します。

• 可視実行を回避するため、ProcessStartInfo.WindowStyle = Hiddenを使用して隠蔽コンソールウィンドウで自身を再起動
• 初回実行とペイロード実行を区別するための再起動ゲートとして引数"e716f93acf"を使用
• [System.Diagnostics.Process]::GetCurrentProcess().MainModule.FileNameを参照する、コメントアウトされた代替ホローイングターゲット"#XLOADER"を含んでおり、ビルダーがXLOADERツールキットから派生したか、コードを共有していることを示唆
• Trojan.BAT.LXRAT.Aと同じBAT暗号化ツール/ビルダーからの亜種ビルドであり、同一のRATペイロードを同じC2サーバーに配信

マルウェアは、脆弱性を利用した感染活動を行いません。

<補足>
インストール

マルウェアは、以下のファイルを作成します。

• %User Temp%\svc_{ランダム}_{ランダム}.ps1 → 非表示のコンソールウィンドウでBATファイルを再生成する「画面を非表示で起動するスクリプト」。
• %User Temp%\{ランダム}.bat → 不正活動の永続化が無効化されているコードやPowerShellを介したプロセスホローイングを実行するローダを含む「復号された第二段階のドロッパ」。
• %User Temp%\volatile_module_{ランダム}{ランダム}{ランダム}.ps1 → LX-CLIENT.app RAT（Backdoor.MSIL.LXRAT.Aとして検出）をメモリ内で復号・リフレクティブロードし、プロセスホローイング（RunPE）を介して CasPol.exe に注入する「Powershellランチャー」。

マルウェアは、以下のプロセスを追加します。

• cmd.exe /c find /c /v "" < "{マルウェアパス}\{マルウェアのファイル名}" -オフセットを計算するためにBATファイル内の総行数をカウントする
• cmd.exe /c findstr /n /C:"---BEGIN_PS---" "{マルウェアパス}\{マルウェアのファイル名}" -PowerShellスクリプト（ペイロード）の開始マーカーの行番号を特定する
• cmd.exe /c findstr /n /C:"---BEGIN_ENC---" "{マルウェアパス}\{マルウェアのファイル名}"" -暗号化されたデータの開始マーカーの行番号を特定する
• powershell -NoProfile -ExecutionPolicy Bypass -Command "Get-Content '{マルウェアパス}\{マルウェアのファイル名}' -Tail {N} | Select-Object -First {M} | Set-Content '%User Temp%\svc_{ランダム}_{ランダム}.ps1' -Encoding UTF8" -特定の行範囲から画面非表示起動スクリプトを抽出する
• powershell -NoProfile -WindowStyle Hidden -ExecutionPolicy Bypass -File "%User Temp%\svc_{ランダム}_{ランダム}.ps1" - 第二段階のBATファイルを復号して起動するための「画面非表示起動スクリプト」を実行する
• cmd.exe /c "%User Temp%\{ランダム}.bat" __hidden -復号された第二段階のBATファイルを実行する
• powershell -WindowStyle Hidden -NonInteractive -NoProfile -ExecutionPolicy Bypass -Command "{ProcessStartInfoを用いて非表示で再実行された第二段階のBAT}" -非表示のウインドウで自身を再実行する（第二段階）
• cmd.exe /c find /c /v "" < "%User Temp%\{ランダム}.bat" -埋め込まれたブロックを抽出するために、自身の行数をカウントする（第二段階）
• cmd.exe /c findstr /n /C:"---BEGIN_PS---" "%User Temp%\{ランダム}.bat" -第二段階で自身のペイロード（PowerShellスクリプト）のマーカー位置を特定する
• powershell -NoProfile -WindowStyle Hidden -ExecutionPolicy Bypass -File "%User Temp%\volatile_module_{ランダム}{ランダム}{ランダム}.ps1" -ペイロードランチャーを実行する（RATをメモリ内に読み込み、プロセスホローイングを実行する）
• %System%\csc.exe /noconfig /fullpaths @"%User Temp%\{ランダム}\{ランダム}.cmdline" -インラインで記述されたRunPE用のP/Invoke宣言を、一時的な.NET DLLへコンパイルするためにAdd-Typeから呼び出されるC#コンパイラ
• %System%\cvtres.exe /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%User Temp%\{ランダム}.tmp" "%User Temp%\{ランダム}\{ランダム}.res" -csc.exeの子プロセスとして動作するリソースコンバータ（標準的なコンパイラパイプラインによる生成物）。
• %Windows%\Microsoft.NET\Framework64\v4.0.30319\CasPol.exe -プロセスホローイングの対象プロセス（一時停止状態で起動され、対象のメモリ領域がRATペイロードに上書きされる）。

その他

マルウェアは、以下を実行します。

• 可視状態での実行を回避するため、ProcessStartInfo.WindowStyle = Hiddenを用いて非表示のコンソール ウインドウ上で自身を再起動します。
• 初回実行とペイロード実行を区別するための「本番処理への移行判定」として、引数「e716f93acf」を用います。
• [System.Diagnostics.Process]::GetCurrentProcess().MainModule.FileNameを参照する、コメントアウトされたプロセスホローイングの代替対象「#XLOADER」を含んでいることから、本ビルダがXLOADERツールキットから派生した亜種か、またはコードを共有していることが示唆されます。
• マルウェアは、 Trojan.BAT.LXRAT.Aと同じ BATクリプタ/ビルダで作成された亜種であり、同じC&Cサーバにアクセスして同一のRATペイロードをダウンロードします。

---

  対応方法

ご利用はいかがでしたか？　アンケートにご協力ください