Trojan.HTML.INFOSTEALER.THDOABO

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、イベントを作成します。 ただし、情報公開日現在、このWebサイトにはアクセスできません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %User Temp%\0.png
• %User Temp%\1.png
• %User Temp%\2.png
• %User Temp%\3.png
• %User Temp%\4.png
• %User Temp%\1-index.htm -> used to display the PNG files and run the CAB file
• %User Temp%\~tmp6.cab -> main payload; detected as Trojan.Win32.INFOSTEALER.THDOABO
• %AppDataLocal%\systemsrv7.txt -> copy of ~tmp6.cab

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)

マルウェアは、以下のプロセスを追加します。

• cmd.exe /c for %i in (*.chm) do (hh -decompile %temp% %~i)&&cmd /c %temp%/~tmp6.cab

マルウェアは、以下のプロセスにコードを組み込みます。

• {any process with access rights}
• {any process with access rights}
  • The malware will continually inject codes into available processes until two infected processes are synchronized.

自動実行方法

マルウェアは、Windows起動時に自動実行されるよう＜User Startup＞フォルダ内に以下のファイルを作成します。

• %User Startup%\systemsrv7.lnk -> pointed to systemsrv7.txt

(註：%User Startup%フォルダは、現在ログオンしているユーザのスタートアップフォルダです。Windows 98およびMEの場合、通常 "C:\Windows\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows NTの場合、通常 "C:\WINNT\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows 2003(32-bit)、XP、2000(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows Vista、7、8、 8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup" です。)

作成活動

マルウェアは、以下のファイルを作成します。このファイルは、キー入力操作情報を収集するために利用されます。

• %04d%02d%02d%02d%02d%02d%03d.LOG -> format is current year, month, day, hour, minute, second, and millisecond

その他

マルウェアは、以下の画像を表示します。

• %User Temp%\0.png
• 
  
• %User Temp%\1.png
• 
  
• %User Temp%\2.png
• 
  
• %User Temp%\3.png
• 
  
• %User Temp%\4.png
• 
  
• http://{BLOCKED}ive.icu/downl/images/jpg_1.gif

マルウェアは、以下のWebサイトにファイルをアップロードします。

• http://{BLOCKED}ive.icu/upload10.php
  • %04d%02d%02d%02d%02d%02d%03d.LOG is uploaded.

マルウェアは、以下を実行します。

• It injects the following DLLs into the target processes:
  • Mngr.dll -> responsible for injection and synchronization
  • Klgr.dll -> logs user keystrokes
  • Send.dll -> uploads to the URL stated
  • Auto.dll -> creates autostart technique
  • Dldr.dll -> searches for specific .exe, .bat, .cmd, .vbs, and .js files and executes them
  • Brsr.dll -> browses drives and directories
• It attempts to a load a certain Krrde.dll.

マルウェアは、以下のイベントを作成します。

• e_tr10_{104 and higher}_0
• e_tr10_{104 and higher}_1
• e_tr10_{104 and higher}_2
  • Events are used to synchronize the two infected processes.

ただし、情報公開日現在、このWebサイトにはアクセスできません。