Trojan.Win32.TONEDROP.THACOBE

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %ProgramData%\session\Uninstall\uni52C2.tmp
• %ProgramData%\session\Uninstall\uninstall.dat
• %ProgramData%\session\uninstall.exe
• %ProgramData%\session\lua5.1.dll
• %ProgramData%\session\Uninstall\uninstall.xml
• %ProgramData%\session\2567_MDES0204_8_20134.pdf
• %ProgramData%\session\Uninstall\uninstall.xml
• %Programs%\session\OriginLegacyCLI.lnk
• %ProgramData%\session\Uninstall\uninstall.xml
• %ProgramData%\session\Uninstall\IRIMG1.JPG
• %ProgramData%\session\Uninstall\uninstall.xml
• %ProgramData%\session\Uninstall\IRIMG2.JPG
• %ProgramData%\session\Uninstall\uninstall.xml
• %User Temp%\_ir_sf_temp_0\lua5.1.dll
• %User Temp%\_ir_sf_temp_0\irsetup.dat
• %User Temp%\_ir_sf_temp_0\IRIMG1.JPG
• %User Temp%\_ir_sf_temp_0\IRIMG2.JPG
• %Windows%\Syswow64\CompressShaders

(註：%ProgramData%フォルダは、マルチユーザーシステムにおいて任意のユーザがプログラムに変更を加えることができるプログラムファイルフォルダのバージョンです。これには、すべてのユーザのアプリケーションデータが含まれます。Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData" です。Windows Server 2003(32-bit)、2000(32-bit)、XPの場合、通常 "C:\Documents and Settings\All Users" です。 . %Programs%フォルダは、ユーザのプログラムグループが含まれるフォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Windows\Start Menu\Programs" または "C:\Documents and Settings\＜ユーザ名＞\Start Menu\Programs" です。または、Windows Vista、7、8の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu\Programs" です。. %User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

マルウェアは、以下のファイルを作成し実行します。

• %ProgramData%\session\EACore.dll → Detected as Backdoor.Win32.TONESHELL.THACOBE
• %ProgramData%\session\OriginLegacyCLI.exe
• %User Temp%\_ir_sf_temp_0\irsetup.exe

(註：%ProgramData%フォルダは、マルチユーザーシステムにおいて任意のユーザがプログラムに変更を加えることができるプログラムファイルフォルダのバージョンです。これには、すべてのユーザのアプリケーションデータが含まれます。Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData" です。Windows Server 2003(32-bit)、2000(32-bit)、XPの場合、通常 "C:\Documents and Settings\All Users" です。 . %User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

マルウェアは、以下のプロセスを追加します。

• "%User Temp%\_ir_sf_temp_0\irsetup.exe" __IRAOFF:1747314 "__IRAFN:{IRSetup.exe File Path}" "__IRCT:0" "__IRTSS:0" "__IRSID:S-1-5-21-2019512041-4230814187-3178073052-1000"
• %Program Files%\Adobe\Reader 9.0\Reader\AcroRd32.exe" "%Program Files%\session\2567_MDES0204_8_20134.pdf"
• %Program Files%\session\OriginLegacyCLI.exe
• "%Program Files%\Adobe\Reader 9.0\Reader\AdobeCollabSync.exe" -c
• %Windows%\SysWOW64\waitfor.exe" {Process ID} /INJECTRUNNING \ %Windows%\SysWOW64\Mavinject.exe

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %Program Files%フォルダは、デフォルトのプログラムファイルフォルダです。C:\Program Files in Windows 2000(32-bit)、Server 2003(32-bit)、XP、Vista(64-bit)、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files"です。また、Windows XP(64-bit)、Vista(64-bit)、7(64-bit)、8(64-bit)、8.1(64-bit)、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files（x86）" です。. %Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

バックドア活動

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• www.{BLOCKED}ytc.com

情報漏えい

マルウェアは、以下の情報を収集します。

• Computer Name

その他

マルウェアは、以下を実行します。

• It checks for processes related to ESET antivirus applications:
  • ekrn.exe
  • egui.exe
  If it exists:
  • EACore.dll will be registered using regsvr32.exe
  • It will add the following process:
  • "%Windows%\SysWOW64\waitfor.exe" {Process ID} /INJECTRUNNING \ %Windows%\SysWOW64\Mavinject.exe
  If not, it will do the following:
  • Execute its shellcode injected to %Windows%\SysWOW64\waitfor.exe
• It displays the following PDF upon execution:
  • %Program Files%\session\2567_MDES0204_8_20134.pdf