Trojan.Win32.SMOKELOADER.AI

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ただし、情報公開日現在、このWebサイトにはアクセスできません。

マルウェアは、仮想環境内で実行されると、自身の活動を終了します。 マルウェアは、実行後、自身を削除します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Application Data%\{random} -> filename is generated from system information

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

マルウェアは、以下のファイルを作成します。

• %User Temp%\4DD3.tmp -> copy of %System%\ntdll.dll
• %Application Data%\{random} -> XML file to run the dropped copy of itself; filename is generated from system information
• %Application Data%\{random} -> downloaded component from C&C server; filename is generated from system information

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.. %Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• {Random hash from system info}
• opera_shared_counter

マルウェアは、以下のプロセスにコードを組み込みます。

• explorer.exe

他のシステム変更

マルウェアは、以下のファイルを削除します。

• %Application Data%\{dropped copy}:Zone.Identifier

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

プロセスの終了

マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• x64dbg.exe
• x32dbg.exe
• autoruns.exe
• idaq64.exe
• idaq.exe
• idaw64.exe
• idaw.exe
• ollydbg.exe
• processhacker.exe
• procexp.exe
• procmon.exe
• tcpview.exe
• wireshark.exe

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスして自身のコンポーネントファイルをダウンロードします。

• http://{BLOCKED}older131-service.space/

ただし、情報公開日現在、このWebサイトにはアクセスできません。

情報漏えい

マルウェアは、以下の情報を収集します。

• Computer Name
• User Name
• System Volume Information
• Credentials used in the following protocols:
  • ftp
  • smtp
  • pop3
  • imap
• Data being sent from the following browsers:
  • Firefox
  • Internet Explorer
  • Edge
  • Chrome
  • Opera

情報収集

マルウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

• http://{BLOCKED}older231-service.space/

その他

マルウェアは、仮想環境内で実行されると、自身の活動を終了します。

マルウェアは、実行後、自身を削除します。

マルウェアは、以下の仮想環境やサンドボックスに関連したモジュールが感染コンピュータ内に存在していないかを確認します。

• sbiedll

マルウェアは、以下の仮想環境やサンドボックスに関連したレジストリキーが感染コンピュータ内に存在していないかを確認します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControLSet\
Enum\IDE\{*vm string*}
where vm string = qemu; virtio; vmware; vbox; xen

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControLSet\
Enum\SCSI\{*vm string*}
where vm string = qemu; virtio; vmware; vbox; xen

マルウェアは、自身がデバッグされていることを確認した場合、不正活動を実行しません。

以下のスケジュールされたタスクを追加します：

• NvNgxUpdateCheckDaily_{%08X-%04X-%04X-%04X-%08X%04X}
• Task Action: regsvr32 /s /n /u /i:"%Application Data%\{XML file}" scrobj

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)