TrojanSpy.Win32.EMOTET.TIABOFED

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、特定のWebサイトにアクセスし、情報を送受信します。 スパイウェアは、実行後、自身を削除します。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、以下のフォルダを追加します。

• %AppDataLocal%\{string1}{string2} → if run without admin privileges

(註：%AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)

スパイウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %System%\{string1}{string2}.exe → if run with admin privileges
• %AppDataLocal%\{string1}{string2}\{string1}{string2}.exe → if run without admin privileges
  where {string1} and {string2} can be any of the following strings:
  • langs
  • buffer
  • user
  • spooler
  • tlb
  • back
  • rus
  • browser
  • org
  • flg
  • psec
  • cyan
  • err
  • chapp
  • dmi
  • join
  • started
  • cat
  • reset
  • dmrc
  • scan
  • bang
  • ripple
  • page
  • ijpn
  • cabinet
  • dasmrc
  • mgm
  • body
  • sddl
  • listof
  • york
  • mobsync
  • modern
  • dialog
  • val
  • iell
  • rowset
  • hexa
  • english
  • crimson
  • wow
  • typeb
  • brown
  • flow
  • partner
  • picture
  • size
  • ordered
  • chunker
  • shooter
  • invoke
  • init
  • bus
  • pla
  • sav
  • ipsps
  • dbml
  • builder
  • sketch
  • cube
  • sup
  • loada
  • binder

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.. %AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)

スパイウェアは、以下のプロセスを追加します。

• {Malware File Path}\{Malware File Name}.exe --{8 Random Characters}
• %System%\{string1}{string2}.exe → if run with admin privileges
• %System%\{string1}{string2}.exe --{8 Random Characters} → if run with admin privileges
• %AppDataLocal%\{string1}{string2}\{string1}{string2}.exe → if run without admin privileges
• %AppDataLocal%\{string1}{string2}\{string1}{string2}.exe --{8 Random Characters} → if run without admin privileges

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.. %AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)

スパイウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• Global\I{Volume Serial Number}
• Global\M{Volume Serial Number}

自動実行方法

スパイウェアは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\{string1}{string2}
ImagePath = %System%\{string1}{string2}.exe

スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{string1}{string2} = "%AppDataLocal%\{string1}{string2}\{string1}{string2}.exe"

他のシステム変更

スパイウェアは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{string1}{string2}

スパイウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{string1}{string2}
Type = 16

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{string1}{string2}
Start = 2

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{string1}{string2}
ErrorControl = 0

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{string1}{string2}
DisplayName = {string1}{string2}

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{string1}{string2}
ObjectName = {string1}{string2}

情報漏えい

スパイウェアは、以下の情報を収集します。

• Computer Name
• Process SessionId
• OS Version
• Running Processes
• File CRC
• Processor Architecture

その他

スパイウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• • {BLOCKED}.{BLOCKED}.35.138:7080/{string}
  • {BLOCKED}.{BLOCKED}.93.230:80/{string}
  • {BLOCKED}.{BLOCKED}.115.217:8080/{string}
  • {BLOCKED}.{BLOCKED}.95.107:443/{string}
  • {BLOCKED}.{BLOCKED}.183.211:8080/{string}
  • {BLOCKED}.{BLOCKED}.111.142:7080/{string}
  • {BLOCKED}.{BLOCKED}.151.103:8080/{string}
  • {BLOCKED}.{BLOCKED}.212.195:8080/{string}
  • {BLOCKED}.{BLOCKED}.144.228:80/{string}
  • {BLOCKED}.{BLOCKED}.51.143:8080/{string}
  • {BLOCKED}.{BLOCKED}.8.192:8080/{string}
  • {BLOCKED}.{BLOCKED}.143.100:7080/{string}
  • {BLOCKED}.{BLOCKED}.160.178:8080/{string}
  • {BLOCKED}.{BLOCKED}.190.199:8080/{string}
  • {BLOCKED}.{BLOCKED}.170.114:8080/{string}
  • {BLOCKED}.{BLOCKED}.33.84:8080/{string}
  • {BLOCKED}.{BLOCKED}.29.42:80/{string}
  • {BLOCKED}.{BLOCKED}.101.134:8080/{string}
  • {BLOCKED}.{BLOCKED}.211.77:8080/{string}
  • {BLOCKED}.{BLOCKED}.182.254:8080/{string}
  • {BLOCKED}.{BLOCKED}.57.43:80/{string}
  • {BLOCKED}.{BLOCKED}.87.122:8080/{string}
  • {BLOCKED}.{BLOCKED}.140.14:443/{string}
  • {BLOCKED}.{BLOCKED}.15.205:8080/{string}
  • {BLOCKED}.{BLOCKED}.166.147:80/{string}
  • {BLOCKED}.{BLOCKED}.188.121:80/{string}
  • {BLOCKED}.{BLOCKED}.77.40:7080/{string}
  • {BLOCKED}.{BLOCKED}.124.145:443/{string}
  • {BLOCKED}.{BLOCKED}.215.57:7080/{string}
  • {BLOCKED}.{BLOCKED}.163.19:8090/{string}
  • {BLOCKED}.{BLOCKED}.93.124:7080/{string}
  • {BLOCKED}.{BLOCKED}.183.28:8080/{string}
  • {BLOCKED}.{BLOCKED}.71.206:7080/{string}
  • {BLOCKED}.{BLOCKED}.58.132:8080/{string}
  • {BLOCKED}.{BLOCKED}.86.13:8080/{string}
  • {BLOCKED}.{BLOCKED}.124.163:8080/{string}
  • {BLOCKED}.{BLOCKED}.150.176:443/{string}
  • {BLOCKED}.{BLOCKED}.106.4:7080/{string}
  • {BLOCKED}.{BLOCKED}.237.27:443/{string}
  • {BLOCKED}.{BLOCKED}.158.155:80/{string}
  • {BLOCKED}.{BLOCKED}.173.247:8080/{string}
  • {BLOCKED}.{BLOCKED}.204.126:8080/{string}
  • {BLOCKED}.{BLOCKED}.163.131:8080/{string}
  • {BLOCKED}.{BLOCKED}.187.151:8080/{string}
  • {BLOCKED}.{BLOCKED}.122.122:8080/{string}
  • {BLOCKED}.{BLOCKED}.153.203:443/{string}
  • {BLOCKED}.{BLOCKED}.253.20:21/{string}
  • {BLOCKED}.{BLOCKED}.42.205:443/{string}
  • {BLOCKED}.{BLOCKED}.166.242:80/{string}
  • {BLOCKED}.{BLOCKED}17.210:443/{string}
  • {BLOCKED}.{BLOCKED}.97.25:80/{string}
  • {BLOCKED}.{BLOCKED}.148.222:8080/{string}
  • {BLOCKED}.{BLOCKED}.198.10:8080/{string}
  • {BLOCKED}.{BLOCKED}.11.143:8080/{string}
  • {BLOCKED}.{BLOCKED}.41.111:443/{string}
  • {BLOCKED}.{BLOCKED}.95.172:80/{string}
  • {BLOCKED}.{BLOCKED}.141.218:80/{string}
  • {BLOCKED}.{BLOCKED}.132.93:990/{string}
  • {BLOCKED}.{BLOCKED}.89.61:50000/{string}
  • {BLOCKED}.{BLOCKED}.95.26:50000/{string}
  • {BLOCKED}.{BLOCKED}.21.214:443/{string}
  • {BLOCKED}.{BLOCKED}.104.21:443/{string}
  • {BLOCKED}.{BLOCKED}.194.42:8080/{string}
  • {BLOCKED}.{BLOCKED}.253.234:990/{string}
  • {BLOCKED}.{BLOCKED}.152.186:8080/{string}
  • {BLOCKED}.{BLOCKED}.60.129:8080/{string}
  • {BLOCKED}.{BLOCKED}.131.105:8080/{string}
  • {BLOCKED}.{BLOCKED}.37.125:443/{string}
  • {BLOCKED}.{BLOCKED}.14.52:80/{string}
  • {BLOCKED}.{BLOCKED}.30.167:990/{string}
  • {BLOCKED}.{BLOCKED}.60.129:80/{string}
  • {BLOCKED}.{BLOCKED}.60.129:80/{string}
  • {BLOCKED}.{BLOCKED}.102.71:8443/{string}
  • {BLOCKED}.{BLOCKED}.83.179:80/{string}
  • {BLOCKED}.{BLOCKED}.171.51:80/{string}
  • {BLOCKED}.{BLOCKED}.106.18:80/{string}
  • {BLOCKED}.{BLOCKED}.74.202:443/{string}
  • {BLOCKED}.{BLOCKED}.159.3:8080/{string}
  • {BLOCKED}.{BLOCKED}.237.140:8080/{string}
  • {BLOCKED}.{BLOCKED}.160.224:8080/{string}
• where {string} can be one or a combination of any of the following strings, separated by "/":
  • teapot
  • pnp
  • tpt
  • splash
  • site
  • codec
  • health
  • balloon
  • cab
  • odbc
  • badge
  • dma
  • psec
  • cookies
  • iplk
  • devices
  • enable
  • mult
  • prov
  • vermont
  • attrib
  • schema
  • iab
  • chunk
  • publish
  • prep
  • srvc
  • sess
  • ringin
  • nsip
  • stubs
  • img
  • add
  • xian
  • jit
  • free
  • pdf
  • loadan
  • arizona
  • tlb
  • forced
  • results
  • symbols
  • report
  • guids
  • taskbar
  • child
  • cone
  • glitch
  • entries
  • between
  • bml
  • usbccid
  • sym
  • enabled
  • merge
  • window
  • scripts
  • raster
  • acquire
  • json
  • rtm
  • walk
  • ban

スパイウェアは、実行後、自身を削除します。

スパイウェアは、以下を実行します。

• スパイウェアは、ファイル名に以下の文字列を含む古い自身のコピーを削除します。
  • engine
  • finish
  • magnify
  • resapi
  • query
  • skip
  • wubi
  • svcs
  • router
  • crypto
  • backup
  • hans
  • xcl
  • con
  • edition
  • wide
  • loada
  • themes
  • syc
  • pink
  • tran
  • khmer
  • chx
  • excel
  • foot
  • wce
  • allow
  • play
  • publish
  • fwdr
  • prep
  • mspterm
  • nop
  • define
  • chore
  • shlp
  • maker
  • proc
  • cap
  • top
  • tablet
  • sizes
  • without
  • pen
  • dasmrc
  • move
  • cmp
  • rebrand
  • pixel
  • after
  • sms
  • minimum
  • umx
  • cpls
  • tangent
  • resw
  • class
  • colors
  • generic
  • license
  • mferror
  • kds
  • keydef
  • cable
• スパイウェアは、管理者権限がある場合、スタートアップサービスを作成します。管理者権限がない場合は、レジストリに自動実行エントリのみを作成します。

<補足>
インストール

スパイウェアは、以下のフォルダを追加します。

• %AppDataLocal%\{文字列1}{文字列2} → 管理者権限なしで実行された場合

スパイウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %System%\{文字列1}{文字列2}.exe → 管理者権限ありで実行された場合
• %AppDataLocal%\{文字列1}{文字列2}\{文字列1}{文字列2}.exe → 管理者権限なしで実行された場合
  上記の{文字列1}および{文字列2} には、以下のいずれかの文字列が当てはまります。
  • langs
  • buffer
  • user
  • spooler
  • tlb
  • back
  • rus
  • browser
  • org
  • flg
  • psec
  • cyan
  • err
  • chapp
  • dmi
  • join
  • started
  • cat
  • reset
  • dmrc
  • scan
  • bang
  • ripple
  • page
  • ijpn
  • cabinet
  • dasmrc
  • mgm
  • body
  • sddl
  • listof
  • york
  • mobsync
  • modern
  • dialog
  • val
  • iell
  • rowset
  • hexa
  • english
  • crimson
  • wow
  • typeb
  • brown
  • flow
  • partner
  • picture
  • size
  • ordered
  • chunker
  • shooter
  • invoke
  • init
  • bus
  • pla
  • sav
  • ipsps
  • dbml
  • builder
  • sketch
  • cube
  • sup
  • loada
  • binder

スパイウェアは、以下のプロセスを追加します。

• {マルウェアのファイルパス}\{マルウェアのファイル名}.exe --{ランダムな8文字}
• %System%\{文字列1}{文字列2}.exe → 管理者権限ありで実行された場合
• %System%\{文字列1}{文字列2}.exe --{ランダムな8文字} → 管理者権限ありで実行された場合
• %AppDataLocal%\{文字列1}{文字列2}\{文字列1}{文字列2}.exe → 管理者権限なしで実行された場合
• %AppDataLocal%\{文字列1}{文字列2}\{文字列1}{文字列2}.exe --{ランダムな8文字} → 管理者権限なしで実行された場合

スパイウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• Global\I{ボリュームシリアルナンバー}
• Global\M{ボリュームシリアルナンバー}

情報漏えい

スパイウェアは、以下の情報を収集します。

• コンピュータ名
• プロセスのセッションID
• オペレーティングシステム（OS）のバージョン
• 実行中のプロセス
• CRCファイル
• プロセッサアーキテクチャ

その他

スパイウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• • {BLOCKED}.{BLOCKED}.35.138:7080/{文字列}
  • {BLOCKED}.{BLOCKED}.93.230:80/{文字列}
  • {BLOCKED}.{BLOCKED}.115.217:8080/{文字列}
  • {BLOCKED}.{BLOCKED}.95.107:443/{文字列}
  • {BLOCKED}.{BLOCKED}.183.211:8080/{文字列}
  • {BLOCKED}.{BLOCKED}.111.142:7080/{文字列}
  • {BLOCKED}.{BLOCKED}.151.103:8080/{文字列}
  • {BLOCKED}.{BLOCKED}.212.195:8080/{文字列}
  • {BLOCKED}.{BLOCKED}.144.228:80/{文字列}
  • {BLOCKED}.{BLOCKED}.51.143:8080/{文字列}
  • {BLOCKED}.{BLOCKED}.8.192:8080/{文字列}
  • {BLOCKED}.{BLOCKED}.143.100:7080/{文字列}
  • {BLOCKED}.{BLOCKED}.160.178:8080/{文字列}
  • {BLOCKED}.{BLOCKED}.190.199:8080/{文字列}
  • {BLOCKED}.{BLOCKED}.170.114:8080/{文字列}
  • {BLOCKED}.{BLOCKED}.33.84:8080/{文字列}
  • {BLOCKED}.{BLOCKED}.29.42:80/{文字列}
  • {BLOCKED}.{BLOCKED}.101.134:8080/{文字列}
  • {BLOCKED}.{BLOCKED}.211.77:8080/{文字列}
  • {BLOCKED}.{BLOCKED}.182.254:8080/{文字列}
  • {BLOCKED}.{BLOCKED}.57.43:80/{文字列}
  • {BLOCKED}.{BLOCKED}.87.122:8080/{文字列}
  • {BLOCKED}.{BLOCKED}.140.14:443/{文字列}
  • {BLOCKED}.{BLOCKED}.15.205:8080/{文字列}
  • {BLOCKED}.{BLOCKED}.166.147:80/{文字列}
  • {BLOCKED}.{BLOCKED}.188.121:80/{文字列}
  • {BLOCKED}.{BLOCKED}.77.40:7080/{文字列}
  • {BLOCKED}.{BLOCKED}.124.145:443/{文字列}
  • {BLOCKED}.{BLOCKED}.215.57:7080/{文字列}
  • {BLOCKED}.{BLOCKED}.163.19:8090/{文字列}
  • {BLOCKED}.{BLOCKED}.93.124:7080/{文字列}
  • {BLOCKED}.{BLOCKED}.183.28:8080/{文字列}
  • {BLOCKED}.{BLOCKED}.71.206:7080/{文字列}
  • {BLOCKED}.{BLOCKED}.58.132:8080/{文字列}
  • {BLOCKED}.{BLOCKED}.86.13:8080/{文字列}
  • {BLOCKED}.{BLOCKED}.124.163:8080/{文字列}
  • {BLOCKED}.{BLOCKED}.150.176:443/{文字列}
  • {BLOCKED}.{BLOCKED}.106.4:7080/{文字列}
  • {BLOCKED}.{BLOCKED}.237.27:443/{文字列}
  • {BLOCKED}.{BLOCKED}.158.155:80/{文字列}
  • {BLOCKED}.{BLOCKED}.173.247:8080/{文字列}
  • {BLOCKED}.{BLOCKED}.204.126:8080/{文字列}
  • {BLOCKED}.{BLOCKED}.163.131:8080/{文字列}
  • {BLOCKED}.{BLOCKED}.187.151:8080/{文字列}
  • {BLOCKED}.{BLOCKED}.122.122:8080/{文字列}
  • {BLOCKED}.{BLOCKED}.153.203:443/{文字列}
  • {BLOCKED}.{BLOCKED}.253.20:21/{文字列}
  • {BLOCKED}.{BLOCKED}.42.205:443/{文字列}
  • {BLOCKED}.{BLOCKED}.166.242:80/{文字列}
  • {BLOCKED}.{BLOCKED}17.210:443/{文字列}
  • {BLOCKED}.{BLOCKED}.97.25:80/{文字列}
  • {BLOCKED}.{BLOCKED}.148.222:8080/{文字列}
  • {BLOCKED}.{BLOCKED}.198.10:8080/{文字列}
  • {BLOCKED}.{BLOCKED}.11.143:8080/{文字列}
  • {BLOCKED}.{BLOCKED}.41.111:443/{文字列}
  • {BLOCKED}.{BLOCKED}.95.172:80/{文字列}
  • {BLOCKED}.{BLOCKED}.141.218:80/{文字列}
  • {BLOCKED}.{BLOCKED}.132.93:990/{文字列}
  • {BLOCKED}.{BLOCKED}.89.61:50000/{文字列}
  • {BLOCKED}.{BLOCKED}.95.26:50000/{文字列}
  • {BLOCKED}.{BLOCKED}.21.214:443/{文字列}
  • {BLOCKED}.{BLOCKED}.104.21:443/{文字列}
  • {BLOCKED}.{BLOCKED}.194.42:8080/{文字列}
  • {BLOCKED}.{BLOCKED}.253.234:990/{文字列}
  • {BLOCKED}.{BLOCKED}.152.186:8080/{文字列}
  • {BLOCKED}.{BLOCKED}.60.129:8080/{文字列}
  • {BLOCKED}.{BLOCKED}.131.105:8080/{文字列}
  • {BLOCKED}.{BLOCKED}.37.125:443/{文字列}
  • {BLOCKED}.{BLOCKED}.14.52:80/{文字列}
  • {BLOCKED}.{BLOCKED}.30.167:990/{文字列}
  • {BLOCKED}.{BLOCKED}.60.129:80/{文字列}
  • {BLOCKED}.{BLOCKED}.60.129:80/{文字列}
  • {BLOCKED}.{BLOCKED}.102.71:8443/{文字列}
  • {BLOCKED}.{BLOCKED}.83.179:80/{文字列}
  • {BLOCKED}.{BLOCKED}.171.51:80/{文字列}
  • {BLOCKED}.{BLOCKED}.106.18:80/{文字列}
  • {BLOCKED}.{BLOCKED}.74.202:443/{文字列}
  • {BLOCKED}.{BLOCKED}.159.3:8080/{文字列}
  • {BLOCKED}.{BLOCKED}.237.140:8080/{文字列}
  • {BLOCKED}.{BLOCKED}.160.224:8080/{文字列}
• 上記の{文字列}には、以下のいずれかの文字列、またはいずれかを組み合わせた文字列が当てはまります。{文字列}は、 "/"により分けられています。
  • teapot
  • pnp
  • tpt
  • splash
  • site
  • codec
  • health
  • balloon
  • cab
  • odbc
  • badge
  • dma
  • psec
  • cookies
  • iplk
  • devices
  • enable
  • mult
  • prov
  • vermont
  • attrib
  • schema
  • iab
  • chunk
  • publish
  • prep
  • srvc
  • sess
  • ringin
  • nsip
  • stubs
  • img
  • add
  • xian
  • jit
  • free
  • pdf
  • loadan
  • arizona
  • tlb
  • forced
  • results
  • symbols
  • report
  • guids
  • taskbar
  • child
  • cone
  • glitch
  • entries
  • between
  • bml
  • usbccid
  • sym
  • enabled
  • merge
  • window
  • scripts
  • raster
  • acquire
  • json
  • rtm
  • walk
  • ban