TrojanSpy.Win32.EMOTET.BTNSY

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

• %System%\{string1}{string2}.exe - if run with admin privilages
• %AppDataLocal%\{string1}{string2}\{string1}{string2}.exe - if run without admin privileges
  {string1} and {string2} are randomly chosen from the following strings:
  
  • adam  
  • admin  
  • alaska  
  • ar
  • avat
  • avatar
  • avg      
  • based   
  • cbs  
  • culture
  • daf     
  • dasmrc  
  • define
  • detect
  • dev     
  • diag    
  • eap    
  • earcon
  • enroll  
  • form   
  • guids  
  • idl     
  • indexer
  • iprop    
  • iss     
  • jersey   
  • lime  
  • mapi    
  • mdmmcd   
  • menus  
  • metagen  
  • mfidl   
  • mini   
  • mouse    
  • neutral
  • not
  • panes  
  • pnp  
  • polic  
  • radar    
  • repl  
  • resw    
  • right   
  • ripple
  • sat     
  • serv   
  • shader
  • single
  • slide  
  • source  
  • started  
  • subs  
  • svcs   
  • thunk    
  • tmpl   
  • tuip   
  • turned  
  • uuidgen
  • vsc     
  • wab    
  • wcs    
  • wfp     
  • wgx  
  • without
  • wordpad  
  • zip    

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.. %AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)

スパイウェアは、以下のフォルダを作成します。

• %AppDataLocal%\{string1}{string2}

(註：%AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)

スパイウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• PEM{Hash of full file path}
• Global\I{Volume Serial Number}
• Global\M{Volume Serial Number}

自動実行方法

スパイウェアは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\System\ControlSet001\
services\{string1}{string2}
Type = 16

HKEY_LOCAL_MACHINE\System\ControlSet001\
services\{string1}{string2}
Start = 2

HKEY_LOCAL_MACHINE\System\ControlSet001\
services\{string1}{string2}
ErrorControl = 0

HKEY_LOCAL_MACHINE\System\ControlSet001\
services\{string1}{string2}
ImagePath = %System%\{string1}{string2}.exe

HKEY_LOCAL_MACHINE\System\ControlSet001\
services\{string1}{string2}
DisplayName = {string1]{string2}

HKEY_LOCAL_MACHINE\System\ControlSet001\
services\{string1}{string2}
ObjectName = LocalSystem

情報漏えい

スパイウェアは、以下の情報を収集します。

• Machine Name
• OS Version
• Current Running processes and the process ID of each process

その他

スパイウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• {BLOCKED}.{BLOCKED}.199.76
• {BLOCKED}.{BLOCKED}.143.96
• {BLOCKED}.{BLOCKED}.82.225
• {BLOCKED}.{BLOCKED}.243.126
• {BLOCKED}.{BLOCKED}.61.163
• {BLOCKED}.{BLOCKED}.228.7
• {BLOCKED}.{BLOCKED}.203.51
• {BLOCKED}.{BLOCKED}.254.93
• {BLOCKED}.{BLOCKED}.31.68
• {BLOCKED}.{BLOCKED}.241.251
• {BLOCKED}.{BLOCKED}.168.2
• {BLOCKED}.{BLOCKED}.117.247
• {BLOCKED}.{BLOCKED}.31.206
• {BLOCKED}.{BLOCKED}.208.183
• {BLOCKED}.{BLOCKED}.151.102
• {BLOCKED}.{BLOCKED}.239.130
• {BLOCKED}.{BLOCKED}.213.173
• {BLOCKED}.{BLOCKED}.18.45
• {BLOCKED}.{BLOCKED}.163.11
• {BLOCKED}.{BLOCKED}.54.74
• {BLOCKED}.{BLOCKED}.118.27
• {BLOCKED}.{BLOCKED}.79.48
• {BLOCKED}.{BLOCKED}.162.36
• {BLOCKED}.{BLOCKED}.100.185
• {BLOCKED}.{BLOCKED}.33.82
• {BLOCKED}.{BLOCKED}.84.70
• {BLOCKED}.{BLOCKED}.231.96
• {BLOCKED}.{BLOCKED}.128.163
• {BLOCKED}.{BLOCKED}.32.17
• {BLOCKED}.{BLOCKED}.76.245
• {BLOCKED}.{BLOCKED}.150.93
• {BLOCKED}.{BLOCKED}.52.70
• {BLOCKED}.{BLOCKED}.248.48
• {BLOCKED}.{BLOCKED}.217.39
• {BLOCKED}.{BLOCKED}.214.53
• {BLOCKED}.{BLOCKED}.230.228
• {BLOCKED}.{BLOCKED}.66.29
• {BLOCKED}.{BLOCKED}.19.67
• {BLOCKED}.{BLOCKED}.239.130
• {BLOCKED}.{BLOCKED}.147.203
• {BLOCKED}.{BLOCKED}.30.28
• {BLOCKED}.{BLOCKED}.193.16
• {BLOCKED}.{BLOCKED}.189.46
• {BLOCKED}.{BLOCKED}.139.199
• {BLOCKED}.{BLOCKED}.67.107
• {BLOCKED}.{BLOCKED}.86.72
• {BLOCKED}.{BLOCKED}.90.90
• {BLOCKED}.{BLOCKED}.148.222
• {BLOCKED}.{BLOCKED}.153.46
• {BLOCKED}.{BLOCKED}.66.50