TrojanSpy.Win32.EMOTET.TIABOFEF

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、特定のWebサイトにアクセスし、情報を送受信します。 スパイウェアは、実行後、自身を削除します。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、以下のフォルダを追加します。

• %AppDataLocal%\{string1}{string2} → if run without admin privileges

(註：%AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)

スパイウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %System%\{string1}{string2}.exe → if run with admin privileges
• %AppDataLocal%\{string1}{string2}\{string1}{string2}.exe → if run without admin privileges
  where {string1} and {string2} can be any of the following strings:
  • term
  • with
  • poller
  • indiana
  • shader
  • sti
  • dlgs
  • metered
  • asptlb
  • conman
  • plain
  • while
  • cpl
  • crash
  • teapot
  • device
  • adam
  • battery
  • trouble
  • caching
  • hand
  • hlf
  • hero
  • smc
  • readand
  • cpls
  • network
  • engn
  • mmc
  • lcl
  • pdh
  • clw
  • vista
  • client
  • pairs
  • fsi
  • medium
  • pdeft
  • known
  • reach
  • vert
  • boost
  • snd
  • fwk
  • builder
  • iab
  • mscms
  • ssp
  • cable
  • etw
  • angle
  • ordered
  • scalar
  • songs
  • ctnt
  • server
  • chinese
  • media
  • endif
  • supp
  • setthe
  • misc
  • diagram
  • urd

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.. %AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)

スパイウェアは、以下のプロセスを追加します。

• {Malware File Path}\{Malware File Name}.exe --{8 Random Characters}
• %System%\{string1}{string2}.exe → if run with admin privileges
• %System%\{string1}{string2}.exe --{8 Random Characters} → if run with admin privileges
• %AppDataLocal%\{string1}{string2}\{string1}{string2}.exe → if run without admin privileges
• %AppDataLocal%\{string1}{string2}\{string1}{string2}.exe --{8 Random Characters} → if run without admin privileges

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.. %AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)

スパイウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• Global\I{Volume Serial Number}
• Global\M{Volume Serial Number}

自動実行方法

スパイウェアは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\{string1}{string2}
ImagePath = %System%\{string1}{string2}.exe

スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{string1}{string2} = "%AppDataLocal%\{string1}{string2}\{string1}{string2}.exe"

他のシステム変更

スパイウェアは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{string1}{string2}

スパイウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{string1}{string2}
Type = 16

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{string1}{string2}
Start = 2

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{string1}{string2}
ErrorControl = 0

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{string1}{string2}
DisplayName = {string1}{string2}

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{string1}{string2}
ObjectName = {string1}{string2}

情報漏えい

スパイウェアは、以下の情報を収集します。

• Computer Name
• Process SessionId
• OS Version
• Running Processes
• File CRC
• Processor Architecture

その他

スパイウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• • {BLOCKED}.{BLOCKED}.71.206:7080/{string}
  • {BLOCKED}.{BLOCKED}.183.28:8080/{string}
  • {BLOCKED}.{BLOCKED}.93.124:7080/{string}
  • {BLOCKED}.{BLOCKED}.215.57:7080/{string}
  • {BLOCKED}.{BLOCKED}.163.19:8090/{string}
  • {BLOCKED}.{BLOCKED}.124.145:443/{string}
  • {BLOCKED}.{BLOCKED}.77.40:7080/{string}
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.121:80/{string}
  • {BLOCKED}.{BLOCKED}.166.147:80/{string}
  • {BLOCKED}.{BLOCKED}.15.205:8080/{string}
  • {BLOCKED}.{BLOCKED}.140.14:443/{string}
  • {BLOCKED}.{BLOCKED}.87.122:8080/{string}
  • {BLOCKED}.{BLOCKED}.182.254:8080/{string}
  • {BLOCKED}.{BLOCKED}.57.43:80/{string}
  • {BLOCKED}.{BLOCKED}.211.77:8080/{string}
  • {BLOCKED}.{BLOCKED}.101.134:8080/{string}
  • {BLOCKED}.{BLOCKED}.33.84:8080/{string}
  • {BLOCKED}.{BLOCKED}.190.199:8080/{string}
  • {BLOCKED}.{BLOCKED}.170.114:8080/{string}
  • {BLOCKED}.{BLOCKED}.160.178:8080/{string}
  • {BLOCKED}.{BLOCKED}.143.100:7080/{string}
  • {BLOCKED}.{BLOCKED}.8.192:8080/{string}
  • {BLOCKED}.{BLOCKED}.51.143:8080/{string}
  • {BLOCKED}.{BLOCKED}.35.138:7080/{string}
  • {BLOCKED}.{BLOCKED}.151.103:8080/{string}
  • {BLOCKED}.{BLOCKED}.183.211:8080/{string}
  • {BLOCKED}.{BLOCKED}.111.142:7080/{string}
  • {BLOCKED}.{BLOCKED}.144.228:80/{string}
  • {BLOCKED}.{BLOCKED}.212.195:8080/{string}
  • {BLOCKED}.{BLOCKED}.95.107:443/{string}
  • {BLOCKED}.{BLOCKED}.115.217:8080/{string}
  • {BLOCKED}.{BLOCKED}.38.226:50000/{string}
  • {BLOCKED}.{BLOCKED}.160.224:8080/{string}
  • {BLOCKED}.{BLOCKED}.237.140:8080/{string}
  • {BLOCKED}.{BLOCKED}.159.3:8080/{string}
  • {BLOCKED}.{BLOCKED}.32.59:80/{string}
  • {BLOCKED}.{BLOCKED}.41.228:990/{string}
  • {BLOCKED}.{BLOCKED}.74.202:443/{string}
  • {BLOCKED}.{BLOCKED}.32.171:80/{string}
  • {BLOCKED}.{BLOCKED}.83.179:80/{string}
  • {BLOCKED}.{BLOCKED}.171.51:80/{string}
  • {BLOCKED}.{BLOCKED}.102.71:8443/{string}
  • {BLOCKED}.{BLOCKED}.227.135:80/{string}
  • {BLOCKED}.{BLOCKED}.106.18:80/{string}
  • {BLOCKED}.{BLOCKED}.106.18:80/{string}
  • {BLOCKED}.{BLOCKED}.30.167:990/{string}
  • {BLOCKED}.{BLOCKED}.152.186:8080/{string}
  • {BLOCKED}.{BLOCKED}.14.52:80/{string}
  • {BLOCKED}.{BLOCKED}.60.129:8080/{string}
  • {BLOCKED}.{BLOCKED}.60.129:80/{string}
  • {BLOCKED}.{BLOCKED}.60.129:80/{string}
  • {BLOCKED}.{BLOCKED}.131.105:8080/{string}
  • {BLOCKED}.{BLOCKED}.104.21:443/{string}
  • {BLOCKED}.{BLOCKED}.253.234:990/{string}
  • {BLOCKED}.{BLOCKED}.194.42:8080/{string}
  • {BLOCKED}.{BLOCKED}.21.214:443/{string}
  • {BLOCKED}.{BLOCKED}.89.61:50000/{string}
  • {BLOCKED}.{BLOCKED}.11.143:8080/{string}
  • {BLOCKED}.{BLOCKED}.141.218:80/{string}
  • {BLOCKED}.{BLOCKED}.132.93:990/{string}
  • {BLOCKED}.{BLOCKED}.41.111:443/{string}
  • {BLOCKED}.{BLOCKED}.95.172:80/{string}
  • {BLOCKED}.{BLOCKED}.148.222:8080/{string}
  • {BLOCKED}.{BLOCKED}.198.10:8080/{string}
  • {BLOCKED}.{BLOCKED}.97.25:80/{string}
  • {BLOCKED}.{BLOCKED}.253.20:21/{string}
  • {BLOCKED}.{BLOCKED}.166.242:80/{string}
  • {BLOCKED}.{BLOCKED}.122.122:8080/{string}
  • {BLOCKED}.{BLOCKED}.42.205:443/{string}
  • {BLOCKED}.{BLOCKED}.164.248:80/{string}
  • {BLOCKED}.{BLOCKED}.17.210:443/{string}
  • {BLOCKED}.{BLOCKED}.153.203:443/{string}
  • {BLOCKED}.{BLOCKED}.163.131:8080/{string}
  • {BLOCKED}.{BLOCKED}.187.151:8080/{string}
  • {BLOCKED}.{BLOCKED}.204.126:8080/{string}
  • {BLOCKED}.{BLOCKED}.173.247:8080/{string}
  • {BLOCKED}.{BLOCKED}.158.155:80/{string}
  • {BLOCKED}.{BLOCKED}.93.230:80/{string}
  • {BLOCKED}.{BLOCKED}.237.27:443/{string}
  • {BLOCKED}.{BLOCKED}.106.4:7080/{string}
  • {BLOCKED}.{BLOCKED}.124.163:8080/{string}
  • {BLOCKED}.{BLOCKED}.150.176:443/{string}
  • {BLOCKED}.{BLOCKED}.86.13:8080/{string}
  • {BLOCKED}.{BLOCKED}.58.132:8080/{string}
• where {string} can be one or a combination of any of the following strings, separated by "/":
  • teapot
  • pnp
  • tpt
  • splash
  • site
  • codec
  • health
  • balloon
  • cab
  • odbc
  • badge
  • dma
  • psec
  • cookies
  • iplk
  • devices
  • enable
  • mult
  • prov
  • vermont
  • attrib
  • schema
  • iab
  • chunk
  • publish
  • prep
  • srvc
  • sess
  • ringin
  • nsip
  • stubs
  • img
  • add
  • xian
  • jit
  • free
  • pdf
  • loadan
  • arizona
  • tlb
  • forced
  • results
  • symbols
  • report
  • guids
  • taskbar
  • child
  • cone
  • glitch
  • entries
  • between
  • bml
  • usbccid
  • sym
  • enabled
  • merge
  • window
  • scripts
  • raster
  • acquire
  • json
  • rtm
  • walk
  • ban

スパイウェアは、実行後、自身を削除します。

スパイウェアは、以下を実行します。

• スパイウェアは、ファイル名に以下の文字列を含む古い自身のコピーを削除します。
  • langs
  • buffer
  • user
  • spooler
  • tlb
  • back
  • rus
  • browser
  • org
  • flg
  • psec
  • cyan
  • err
  • chapp
  • dmi
  • join
  • started
  • cat
  • reset
  • dmrc
  • scan
  • bang
  • ripple
  • page
  • ijpn
  • cabinet
  • dasmrc
  • mgm
  • body
  • sddl
  • listof
  • york
  • mobsync
  • modern
  • dialog
  • val
  • iell
  • rowset
  • hexa
  • english
  • crimson
  • wow
  • typeb
  • brown
  • flow
  • partner
  • picture
  • size
  • ordered
  • chunker
  • shooter
  • invoke
  • init
  • bus
  • pla
  • sav
  • ipsps
  • dbml
  • builder
  • sketch
  • cube
  • sup
  • loada
  • binder
• スパイウェアは、管理者権限がある場合、スタートアップサービスを作成します。管理者権限がない場合は、レジストリに自動実行エントリのみを作成します。

<補足>
インストール

スパイウェアは、以下のフォルダを追加します。

• %AppDataLocal%\{文字列1}{文字列2} → 管理者権限なしで実行された場合

スパイウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %System%\{文字列1}{文字列2}.exe → 管理者権限ありで実行された場合
• %AppDataLocal%\{文字列1}{文字列2}\{文字列1}{文字列2}.exe → 管理者権限なしで実行された場合
  上記の{文字列1}および{文字列2} には、以下のいずれかの文字列が当てはまります。
  • term
  • with
  • poller
  • indiana
  • shader
  • sti
  • dlgs
  • metered
  • asptlb
  • conman
  • plain
  • while
  • cpl
  • crash
  • teapot
  • device
  • adam
  • battery
  • trouble
  • caching
  • hand
  • hlf
  • hero
  • smc
  • readand
  • cpls
  • network
  • engn
  • mmc
  • lcl
  • pdh
  • clw
  • vista
  • client
  • pairs
  • fsi
  • medium
  • pdeft
  • known
  • reach
  • vert
  • boost
  • snd
  • fwk
  • builder
  • iab
  • mscms
  • ssp
  • cable
  • etw
  • angle
  • ordered
  • scalar
  • songs
  • ctnt
  • server
  • chinese
  • media
  • endif
  • supp
  • setthe
  • misc
  • diagram
  • urd

スパイウェアは、以下のプロセスを追加します。

• {マルウェアのファイルパス}\{マルウェアのファイル名}.exe --{ランダムな8文字}
• %System%\{文字列1}{文字列2}.exe → 管理者権限ありで実行された場合
• %System%\{文字列1}{文字列2}.exe --{ランダムな8文字} → 管理者権限ありで実行された場合
• %AppDataLocal%\{文字列1}{文字列2}\{文字列1}{文字列2}.exe → 管理者権限なしで実行された場合
• %AppDataLocal%\{文字列1}{文字列2}\{文字列1}{文字列2}.exe --{ランダムな8文字} → 管理者権限なしで実行された場合

スパイウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• Global\I{ボリュームシリアルナンバー}
• Global\M{ボリュームシリアルナンバー}

情報漏えい

スパイウェアは、以下の情報を収集します。

• コンピュータ名
• プロセスのセッションID
• オペレーティングシステム（OS）のバージョン
• 実行中のプロセス
• CRCファイル
• プロセッサアーキテクチャ

その他

スパイウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• • {BLOCKED}.{BLOCKED}.71.206:7080/{文字列}
  • {BLOCKED}.{BLOCKED}.183.28:8080/{文字列}
  • {BLOCKED}.{BLOCKED}.93.124:7080/{文字列}
  • {BLOCKED}.{BLOCKED}.215.57:7080/{文字列}
  • {BLOCKED}.{BLOCKED}.163.19:8090/{文字列}
  • {BLOCKED}.{BLOCKED}.124.145:443/{文字列}
  • {BLOCKED}.{BLOCKED}.77.40:7080/{文字列}
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.121:80/{文字列}
  • {BLOCKED}.{BLOCKED}.166.147:80/{文字列}
  • {BLOCKED}.{BLOCKED}.15.205:8080/{文字列}
  • {BLOCKED}.{BLOCKED}.140.14:443/{文字列}
  • {BLOCKED}.{BLOCKED}.87.122:8080/{文字列}
  • {BLOCKED}.{BLOCKED}.182.254:8080/{文字列}
  • {BLOCKED}.{BLOCKED}.57.43:80/{文字列}
  • {BLOCKED}.{BLOCKED}.211.77:8080/{文字列}
  • {BLOCKED}.{BLOCKED}.101.134:8080/{文字列}
  • {BLOCKED}.{BLOCKED}.33.84:8080/{文字列}
  • {BLOCKED}.{BLOCKED}.190.199:8080/{文字列}
  • {BLOCKED}.{BLOCKED}.170.114:8080/{文字列}
  • {BLOCKED}.{BLOCKED}.160.178:8080/{文字列}
  • {BLOCKED}.{BLOCKED}.143.100:7080/{文字列}
  • {BLOCKED}.{BLOCKED}.8.192:8080/{文字列}
  • {BLOCKED}.{BLOCKED}.51.143:8080/{文字列}
  • {BLOCKED}.{BLOCKED}.35.138:7080/{文字列}
  • {BLOCKED}.{BLOCKED}.151.103:8080/{文字列}
  • {BLOCKED}.{BLOCKED}.183.211:8080/{文字列}
  • {BLOCKED}.{BLOCKED}.111.142:7080/{文字列}
  • {BLOCKED}.{BLOCKED}.144.228:80/{文字列}
  • {BLOCKED}.{BLOCKED}.212.195:8080/{文字列}
  • {BLOCKED}.{BLOCKED}.95.107:443/{文字列}
  • {BLOCKED}.{BLOCKED}.115.217:8080/{文字列}
  • {BLOCKED}.{BLOCKED}.38.226:50000/{文字列}
  • {BLOCKED}.{BLOCKED}.160.224:8080/{文字列}
  • {BLOCKED}.{BLOCKED}.237.140:8080/{文字列}
  • {BLOCKED}.{BLOCKED}.159.3:8080/{文字列}
  • {BLOCKED}.{BLOCKED}.32.59:80/{文字列}
  • {BLOCKED}.{BLOCKED}.41.228:990/{文字列}
  • {BLOCKED}.{BLOCKED}.74.202:443/{文字列}
  • {BLOCKED}.{BLOCKED}.32.171:80/{文字列}
  • {BLOCKED}.{BLOCKED}.83.179:80/{文字列}
  • {BLOCKED}.{BLOCKED}.171.51:80/{文字列}
  • {BLOCKED}.{BLOCKED}.102.71:8443/{文字列}
  • {BLOCKED}.{BLOCKED}.227.135:80/{文字列}
  • {BLOCKED}.{BLOCKED}.106.18:80/{文字列}
  • {BLOCKED}.{BLOCKED}.106.18:80/{文字列}
  • {BLOCKED}.{BLOCKED}.30.167:990/{文字列}
  • {BLOCKED}.{BLOCKED}.152.186:8080/{文字列}
  • {BLOCKED}.{BLOCKED}.14.52:80/{文字列}
  • {BLOCKED}.{BLOCKED}.60.129:8080/{文字列}
  • {BLOCKED}.{BLOCKED}.60.129:80/{文字列}
  • {BLOCKED}.{BLOCKED}.60.129:80/{文字列}
  • {BLOCKED}.{BLOCKED}.131.105:8080/{文字列}
  • {BLOCKED}.{BLOCKED}.104.21:443/{文字列}
  • {BLOCKED}.{BLOCKED}.253.234:990/{文字列}
  • {BLOCKED}.{BLOCKED}.194.42:8080/{文字列}
  • {BLOCKED}.{BLOCKED}.21.214:443/{文字列}
  • {BLOCKED}.{BLOCKED}.89.61:50000/{文字列}
  • {BLOCKED}.{BLOCKED}.11.143:8080/{文字列}
  • {BLOCKED}.{BLOCKED}.141.218:80/{文字列}
  • {BLOCKED}.{BLOCKED}.132.93:990/{文字列}
  • {BLOCKED}.{BLOCKED}.41.111:443/{文字列}
  • {BLOCKED}.{BLOCKED}.95.172:80/{文字列}
  • {BLOCKED}.{BLOCKED}.148.222:8080/{文字列}
  • {BLOCKED}.{BLOCKED}.198.10:8080/{文字列}
  • {BLOCKED}.{BLOCKED}.97.25:80/{文字列}
  • {BLOCKED}.{BLOCKED}.253.20:21/{文字列}
  • {BLOCKED}.{BLOCKED}.166.242:80/{文字列}
  • {BLOCKED}.{BLOCKED}.122.122:8080/{文字列}
  • {BLOCKED}.{BLOCKED}.42.205:443/{文字列}
  • {BLOCKED}.{BLOCKED}.164.248:80/{文字列}
  • {BLOCKED}.{BLOCKED}.17.210:443/{文字列}
  • {BLOCKED}.{BLOCKED}.153.203:443/{文字列}
  • {BLOCKED}.{BLOCKED}.163.131:8080/{文字列}
  • {BLOCKED}.{BLOCKED}.187.151:8080/{文字列}
  • {BLOCKED}.{BLOCKED}.204.126:8080/{文字列}
  • {BLOCKED}.{BLOCKED}.173.247:8080/{文字列}
  • {BLOCKED}.{BLOCKED}.158.155:80/{文字列}
  • {BLOCKED}.{BLOCKED}.93.230:80/{文字列}
  • {BLOCKED}.{BLOCKED}.237.27:443/{文字列}
  • {BLOCKED}.{BLOCKED}.106.4:7080/{文字列}
  • {BLOCKED}.{BLOCKED}.124.163:8080/{文字列}
  • {BLOCKED}.{BLOCKED}.150.176:443/{文字列}
  • {BLOCKED}.{BLOCKED}.86.13:8080/{文字列}
  • {BLOCKED}.{BLOCKED}.58.132:8080/{文字列}
• 上記の{文字列}には、以下のいずれかの文字列、またはいずれかを組み合わせた文字列が当てはまります。{文字列}は、 "/"により分けられています。
  • teapot
  • pnp
  • tpt
  • splash
  • site
  • codec
  • health
  • balloon
  • cab
  • odbc
  • badge
  • dma
  • psec
  • cookies
  • iplk
  • devices
  • enable
  • mult
  • prov
  • vermont
  • attrib
  • schema
  • iab
  • chunk
  • publish
  • prep
  • srvc
  • sess
  • ringin
  • nsip
  • stubs
  • img
  • add
  • xian
  • jit
  • free
  • pdf
  • loadan
  • arizona
  • tlb
  • forced
  • results
  • symbols
  • report
  • guids
  • taskbar
  • child
  • cone
  • glitch
  • entries
  • between
  • bml
  • usbccid
  • sym
  • enabled
  • merge
  • window
  • scripts
  • raster
  • acquire
  • json
  • rtm
  • walk
  • ban