Trojan.MSIL.FRS.VSNW0BK24

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のフォルダを追加します。

• If -o | --output parameter is used:
  • {Path Set by the User}\EyeWitness_{Date}_{Time}
  • {Path Set by the User}\EyeWitness_{Date}_{Time}\headers
  • {Path Set by the User}\EyeWitness_{Date}_{Time}\images
  • {Path Set by the User}\EyeWitness_{Date}_{Time}\src
  
  Otherwise:
  • %Application Data%\EyeWitness_{Date}_{Time}
  • %Application Data%\EyeWitness_{Date}_{Time}\headers
  • %Application Data%\EyeWitness_{Date}_{Time}\images
  • %Application Data%\EyeWitness_{Date}_{Time}\src

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

マルウェアは、以下のファイルを作成します。

• If -o | --output parameter is used:
  • {Path Set by the User}\EyeWitness_{Date}_{Time}\headers\{URL Accessed}.txt → contains the HTTP response headers from the captured webpage
  • {Path Set by the User}\EyeWitness_{Date}_{Time}\images\{URL Accessed}.bmp → contains screenshot of the webpage as rendered by EyeWitness
  • {Path Set by the User}\EyeWitness_{Date}_{Time}\src\{URL Accessed}.txt → contains the full HTML, JavaScript, and CSS source code of the webpage
  • {Path Set by the User}\EyeWitness_{Date}_{Time}\report_page1.html → contains the generated report, showing details of the web request, HTTP headers, source code, and a screenshot of the captured webpage
  
  Otherwise:
  • %Application Data%\EyeWitness_{Date}_{Time}\headers\{URL Accessed}.txt
  • %Application Data%\EyeWitness_{Date}_{Time}\images\{URL Accessed}.bmp
  • %Application Data%\EyeWitness_{Date}_{Time}\src\{URL Accessed}.txt
  • %Application Data%\EyeWitness_{Date}_{Time}\report_page1.html
    
    
• It compresses the above files into the following if -c | --compress parameter is used:
  • {Path Set by the User}\EyeWitness_{Date}_{Time}.zip or
  • %Application Data%\EyeWitness_{Date}_{Time}.zip

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

その他

マルウェアは、以下を実行します。

• It captures screenshots of web pages, analyzing HTTP responses, and generating reports for reconnaissance and security assessments.
• It uses the following version of EyeWitness:
  • EyeWitness v1.1

マルウェアは、以下のパラメータを受け取ります。

• -b | --bookmarks → Searches for bookmark files for IE/Chrome, parses them, and adds them to the list of screenshot URLs
• -f | --file → Specify a new-line separated file of URLs
• -i | --cidr → Specify an IP CIDR
• -o | --output → Specify an output directory (one will be created if non-existent)
• -d | --delay → (Default: 30) Specify a delay to use before cancelling a single URL request
• -c | --compress → (Default: false) Compress output directory
• --http → (Default: false) Prepend http:// to all URLs
• --https → (Default: false) Prepend https:// to all URLs
• --help → Display this help screen.
• --version → Display version information.

<補足>
インストール

マルウェアは、以下のフォルダを追加します。

• パラメータ「-o | --output」が使用された場合：
  • {ユーザが設定したパス}\EyeWitness_{日付}_{時間}
  • {ユーザが設定したパス}\EyeWitness_{日付}_{時間}\headers
  • {ユーザが設定したパス}\EyeWitness_{日付}_{時間}\images
  • {ユーザが設定したパス}\EyeWitness_{日付}_{時間}\src
    
    パラメータ「-o | --output」が使用されていない場合：
  • %Application Data%\EyeWitness_{日付}_{時間}
  • %Application Data%\EyeWitness_{日付}_{時間}\headers
  • %Application Data%\EyeWitness_{日付}_{時間}\images
  • %Application Data%\EyeWitness_{日付}_{時間}\src

マルウェアは、以下のファイルを作成します。

• パラメータ「-o | --output」が使用された場合：
  • {ユーザが設定したパス}\EyeWitness_{日付}_{時間}\headers\{アクセスしたURL}.txt → キャプチャされたWebページからのHTTP応答ヘッダを含む
  • {ユーザが設定したパス}\EyeWitness_{日付}_{時間}\images\{アクセスしたURL}.bmp → EyeWitnessによってレンダリングされたWebページのスクリーンショットを含む
  • {ユーザが設定したパス}\EyeWitness_{日付}_{時間}\src\{アクセスしたURL}.txt → Webページの完全なHTML、JavaScript、CSSソースコードを含む
  • {ユーザが設定したパス}\EyeWitness_{日付}_{時間}\report_page1.html → 生成されたレポートを含み、Webサーバへのリクエストの詳細、HTTPヘッダ、ソースコード、キャプチャされたWebページのスクリーンショットを表示する
    
    パラメータ「-o | --output」が使用された場合：
  • %Application Data%\EyeWitness_{日付}_{時間}\headers\{アクセスしたURL}.txt
  • %Application Data%\EyeWitness_{日付}_{時間}\images\{アクセスしたURL}.bmp
  • %Application Data%\EyeWitness_{日付}_{時間}\src\{アクセスしたURL}.txt
  • %Application Data%\EyeWitness_{日付}_{時間}\report_page1.html
• パラメータ「-c | --compress」が使用された場合、上記ファイルを以下のように圧縮します。
  • {ユーザが設定したパス}\EyeWitness_{日付}_{時間}.zip（または）
  • %Application Data%\EyeWitness_{日付}_{時間}.zip

その他

マルウェアは、以下を実行します。

• Webページのスクリーンショットをキャプチャするほか、HTTP応答を分析し、偵察活動およびセキュリティ評価用のレポートを生成します。
• 以下のバージョンのEyeWitnessを使用します。
  • EyeWitness v1.1

マルウェアは、以下のパラメータを受け取ります。

• -b | --bookmarks → Internet Explorer/Chromeのブックマークファイルを検索/解析して、スクリーンショットの一覧（URL）に追加する
• -f | --file → 改行で区切られたURLのファイルを指定する
• -i | --cidr → IPアドレス（CIDR表記）を指定する
• -o | --output → 出力ディレクトリを指定する（存在しない場合は1つ作成される）
• -d | --delay → 単一URLへの問い合わせをキャンセルする前に用いる遅延時間を指定する（デフォルト：30）
• -c | --compress → 出力ディレクトリを圧縮する（デフォルト：false）
• --http → すべてのURLの先頭に「http://」を追加する（デフォルト：false）
• --https → すべてのURLの先頭に「https://」を追加する（デフォルト：false）
• --help → ヘルプスクリーンを表示する
• --version → バージョン情報を表示する