Trojan.XF.EMOTET.EE

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

作成活動

マルウェアは、以下のファイルを作成します。

• %User Profile%\ujg.dll
• %User Profile%\YEFGVF95\3a4uoSOec70pNOT1wMHzQXgn[1].dll
• %User Profile%\AppData\Roaming\Microsoft\Windows\Cookies\{User Name}@alinac[1].txt
• %User Profile%\Recent\76cb29bdb43a9b207d17bec6f82ae429a575c40f.xls.LNK
• %User Profile%\Excel\~arC519.xar

(註：%User Profile%フォルダは、現在ログオンしているユーザのプロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞" です。)

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスし、不正なファイルをダウンロードして実行します。

• https://{BLOCKED}ourbg.com/mail/TBCGVNzLeNXb/ujg.dll
• http://{BLOCKED}c.ca/images/Lp6yKplpRf6/ujg.dll
• http://www.{BLOCKED}aklimanemlak.com/system/T8nE1jfQ7W/ujg.dll
• http://{BLOCKED}st.com/assets/c8AT1uoCVLSxez/ujg.dll
• http://{BLOCKED}ari.co.uk/alsanjari.com/CynW/ujg.dll
• http://{BLOCKED}ui.com/pics/fETgjDyPfUBQp/ujg.dll
• http://{BLOCKED}es.my.id/cgi-bin/uFqdwCqAP7mro/ujg.dll

その他

マルウェアは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Tracing\
Microsoft.SmartScreen.dll

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Tracing\
Microsoft.SmartScreen.dll\Regular

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Tracing\
Microsoft.SmartScreen.dll
LogSessionName = stdout

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Tracing\
Microsoft.SmartScreen.dll
Active = 1

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Tracing\
Microsoft.SmartScreen.dll
ControlFlags = 1

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Tracing\
Microsoft.SmartScreen.dll
Regular Guid data = {7e4b70ee-8296-4f0f-a3ba-f58ef6bb4e96}

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Office\12.0\Excel\
Resiliency\DocumentRecovery
{3E64AD} = {04 00 00 00 f0 06}

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Office\12.0\Excel\
Resiliency\DocumentRecovery\{48CB2D}