【分析レポート】 Ursnif 報告書_Ver. 1

01. 概要

分析の対象となるサンプルは、次のとおりである。各ファイルのハッシュを含む詳細情報は、[03. 対策と予防] で確認できる。

[表 1] サンプル情報

02. 分析

1) 要約

Gozi、ISFB、Dreambot とも呼ばれる「Ursnif」は、ユーザー情報を搾取し、C&C サーバーからデータを受信して悪性行為を遂行するマルウェアである。金融情報を搾取することを主な目的としている。

当該マルウェアは、迷惑メールの添付ファイルで感染する。添付ファイルの形式は、MS Office 脆弱性 (CVE-2017-0199) で知られる RTF 形式および悪性マクロが含まれた DOC 形式である。

ダウンロードされた Ursnif は、Visual C++でコンパイルされたファイルや VB およびカスタムパックなど、さまざまな形をしているが、内部の構造はすべて同じであり、暗号化された DLL が含まれている。

Ursnif は、暗号化された DLL をメモリ上で復号化した後、最終的にシステムに存在する正常な explorer.exe にインジェクションして動作する。explorer.exe プロセスが悪性行為をしているように見えるが、実際はインジェクションされた DLL が悪性行為を行っている。

[図 1] Ursnif の感染および動作

2) 主要機能および特徴 – [Ursnif]

ア) Anti-VM

- VM 回避のために GetCursorInfo API を活用

Ursnif は、VM によるマルウェア検知を回避するため、自らが動作する間、マウスカーソル位置の変化を確認して、悪性行為に使用される文字列を復号化する。Ursnif が動作する間にマウスカーソル位置の変化がない場合は、悪性行為は行われず、無限ループする。

- VM が使用するレジストリキーを参照するため、SetupDiGetDeviceRegistryPropertyA API を活用

Ursnif は、SetupDiGetDeviceRegistryPropertyA を活用して、VM で使用するハードウェア情報を確認する。

API を呼び出し、VM と関係があるハードウェア名があった場合は、自らを終了させ、悪性行為を行わない。(※ ハードウェア情報に vbox、qemu、vmware、virtual hd 文字列が含まれていない場合のみ、悪性行為を行う)

イ) レジストリ登録

- 自動実行のためのレジストリに自らを登録

[表 2] レジストリ作成

[表 3] レジストリ登録

ウ) DLL インジェクション

- 悪性行為の遂行に必要な DLL をシステムプロセスにインジェクション

Ursnif のリソースセクションには、次のような暗号化された PE ファイルバイナリが含まれている。

[図 2] 暗号化された DLL

上記のバイナリは、Ursnif の復号化ルーチンにより復号化され、explorer.exe プロセスにインジェクションされる。

本報告書では、インジェクションされた DLL ファイルを、[図 1] のように、Decoded DLL と表記する。

[図 3] は、復号化された Decoded DLL の一部である。

[図 3] 復号化された DLL

Decoded DLL は、別途のファイルで作成されず、explorer.exe にインジェクションされ、メモリに常駐する。

Decoded DLL の .bss セクションは、暗号化された文字列を含んでおり、当該文字列を復号化すると、悪性行為に必要な以下の文字列を確認することができる。

3) 主要機能および特徴 – [Decoded DLL]

ア) ユーザー情報の搾取

- Web ブラウザのアカウントパス、E メール関連プロトコルの設定情報などを参照し、ユーザー情報を搾取

Decoded DLL は、以下のような Web ブラウザが保存するログイン情報パスを参照して、ユーザー情報を搾取する。

この他にも、ユーザー PC で実行中の Web ブラウザをモニタリングし、一定時間おきにユーザーのパケット情報をファイルで保存する。ファイルは、%temp% に [4文字(ランダム)].bin という名前で保存される。

作成された [4文字(ランダム)].bin は、PK 形式の圧縮ファイルで保存され、C&C サーバーに転送される。

[図 4] %TEMP% に保存されたユーザー情報およびパケット情報が含まれた PK 圧縮ファイル

イ) Tor クライアントモジュールのダウンロード

- C&C サーバーとの通信を隠ぺいするため、Tor クライアントモジュールを使用

Ursnif の形によって、Decoded DLL は、特定サイトから 2.32MB の暗号化されたデータをダウンロードする。当該データは Tor クライアントの DLL モジュールであり、Ursnif が特定の C&C サーバーと通信することを隠ぺいするためのものである。ダウンロード後、Tor クライアントモジュールの情報が以下のレジストリに保存される。