TROJ_STARTER.TJBGBX

マルウェアは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。 マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ただし、情報公開日現在、このWebサイトにはアクセスできません。

侵入方法

マルウェアは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %User Temp%\BlocK.txt - a blank text file
• %User Temp%\decoy.doc - a blank Microsoft Word document

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

マルウェアは、以下のファイルを作成し実行します。

• %User Temp%\iNteldriVerupd1.sCt - detected as TROJ_STARTER.TJBGBX, contains a VBS scriptlet that runs %User Temp%\TasK.BaT
• %User Temp%\TasK.BaT - creates %User Temp%\BlocK.txt and executes %User Temp%\2nd.bat
• %User Temp%\2nd.bat - detected as TROJ_STARTER.TJBGBX. Executes the malware's payload (%User Temp%\ExE.exe), closes Winword.exe, deletes Resiliency registry keys and overwrites a file with %User Temp%\decoy.doc. This batch script will then open the overwritten file.
• %User Temp%\ExE.exe - The malware's payload. Detected as TSPY_SWOTTER.THFBOAJ.

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

他のシステム変更

マルウェアは、以下のレジストリキーを削除します。

HKEY_CURRENT_USER\Software\Microsoft\
Office\11.0\Word\
Resiliency

HKEY_CURRENT_USER\Software\Microsoft\
Office\12.0\Word\
Resiliency

HKEY_CURRENT_USER\Software\Microsoft\
Office\14.0\Word\
Resiliency

HKEY_CURRENT_USER\Software\Microsoft\
Office\15.0\Word\
Resiliency

HKEY_CURRENT_USER\Software\Microsoft\
Office\16.0\Word\
Resiliency

作成活動

マルウェアは、以下のソフトウェアに存在する脆弱性を利用して感染活動をします。この脆弱性が利用されると、マルウェアは不正なファイルを作成します。

• CVE-2017-8570 | Microsoft Office Remote Code Execution Vulnerability

その他

マルウェアは、以下の不正なWebサイトにアクセスします。

• hxxp://{BLOCKED}u/newbuild/t.php?thread=0&stats=send

ただし、情報公開日現在、このWebサイトにはアクセスできません。

＜補足＞
インストール

マルウェアは、以下のファイルを作成します。

• %User Temp%\BlocK.txt - 白紙のテキストファイル
• %User Temp%\decoy.doc - 白紙のMicrosoft Word文書

（註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。）

マルウェアは、以下のファイルを作成し実行します。

• ％User Temp％\ iNteldriVerupd1.sCt - TROJ_STARTER.TJBGBX として検出される。％User Temp％\ TasK.BaT を実行するVBSスクリプトレットが含まれる
• ％User Temp％\ TasK.BaT - ％User Temp％\ BlocK.txtを作成し、％User Temp％\ 2nd.batを実行する
• ％User Temp％\ Second.bat - TROJ_STARTER.TJBGBX として検出される。 マルウェアのペイロード（％User Temp％\ ExE.exe）を実行し、Winword.exeを終了し、Resiliencyレジストリキーを削除し、％User Temp％\ decoy.docでファイルを上書きする。その後、このバッチスクリプトは、上書きされたファイルを開く
• ％User Temp％\ ExE.exe - マルウェアのペイロード。 TSPY_SWOTTER.THFBOAJ として検出される

（註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。）