TrojanSpy.Win32.EMOTET.TIABOFEK

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、特定のWebサイトにアクセスし、情報を送受信します。 スパイウェアは、実行後、自身を削除します。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、以下のフォルダを追加します。

• %AppDataLocal%\{string1}{string2} → if run without admin privileges

(註：%AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)

スパイウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %System%\{string1}{string2}.exe → if run with admin privileges
• %AppDataLocal%\{string1}{string2}\{string1}{string2}.exe → if run without admin privileges
  where {string1} and {string2} can be any of the following strings:
  • term
  • with
  • poller
  • indiana
  • shader
  • sti
  • dlgs
  • metered
  • asptlb
  • conman
  • plain
  • while
  • cpl
  • crash
  • teapot
  • device
  • adam
  • battery
  • trouble
  • caching
  • hand
  • hlf
  • hero
  • smc
  • readand
  • cpls
  • network
  • engn
  • mmc
  • lcl
  • pdh
  • clw
  • vista
  • client
  • pairs
  • fsi
  • medium
  • pdeft
  • known
  • reach
  • vert
  • boost
  • snd
  • fwk
  • builder
  • iab
  • mscms
  • ssp
  • cable
  • etw
  • angle
  • ordered
  • scalar
  • songs
  • ctnt
  • server
  • chinese
  • media
  • endif
  • supp
  • setthe
  • misc
  • diagram
  • urd

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.. %AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)

スパイウェアは、以下のプロセスを追加します。

• {Malware File Path}\{Malware File Name}.exe --{8 Random Characters}
• %System%\{string1}{string2}.exe → if run with admin privileges
• %System%\{string1}{string2}.exe --{8 Random Characters} → if run with admin privileges
• %AppDataLocal%\{string1}{string2}\{string1}{string2}.exe → if run without admin privileges
• %AppDataLocal%\{string1}{string2}\{string1}{string2}.exe --{8 Random Characters} → if run without admin privileges

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.. %AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)

スパイウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• Global\I{Volume Serial Number}
• Global\M{Volume Serial Number}
• Global\E{Volume Serial Name}

自動実行方法

スパイウェアは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\{string1}{string2}
ImagePath = %System%\{string1}{string2}.exe

スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{string1}{string2} = "%AppDataLocal%\{string1}{string2}\{string1}{string2}.exe"

他のシステム変更

スパイウェアは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{string1}{string2}

スパイウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{string1}{string2}
Type = 16

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{string1}{string2}
Start = 2

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{string1}{string2}
ErrorControl = 0

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{string1}{string2}
DisplayName = {string1}{string2}

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{string1}{string2}
ObjectName = {string1}{string2}

情報漏えい

スパイウェアは、以下の情報を収集します。

• Computer Name
• Process SessionId
• OS Version
• Running Processes
• File CRC
• Processor Architecture

その他

スパイウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• • {BLOCKED}.{BLOCKED}.19.232:8080/{string}
  • {BLOCKED}.{BLOCKED}220.155:8080/{string}
  • {BLOCKED}.{BLOCKED}05.223:7080/{string}
  • {BLOCKED}.{BLOCKED}00.130:8080/{string}
  • {BLOCKED}2{BLOCKED}15.66:8080/{string}
  • {BLOCKED}.{BLOCKED}194.138:443/{string}
  • {BLOCKED}.{BLOCKED}.10.37:8080/{string}
  • {BLOCKED}.{BLOCKED}.80.63:7080/{string}
  • {BLOCKED}.{BLOCKED}.238.69:465/{string}
  • {BLOCKED}.{BLOCKED}.67.134:8090/{string}
  • {BLOCKED}.{BLOCKED}.182.217:8080/{string
  • {BLOCKED}.{BLOCKED}.219.147:8080/{string
  • {BLOCKED}.{BLOCKED}.216.44:8080/{string}
  • {BLOCKED}.{BLOCKED}.213.2:22/{string}
  • {BLOCKED}.{BLOCKED}.198.66:80/{string}
  • {BLOCKED}.{BLOCKED}.217.49:80/{string}
  • {BLOCKED}1{BLOCKED}63.139:21/{string}
  • {BLOCKED}.{BLOCKED}135.159:21/{string}
  • {BLOCKED}.{BLOCKED}.182.191:8080/{string
  • {BLOCKED}2{BLOCKED}19.21:8080/{string}
  • {BLOCKED}.{BLOCKED}.177.26:8080/{string}
  • {BLOCKED}.{BLOCKED}161.166:443/{string}
  • {BLOCKED}.{BLOCKED}.247.220:80/{string}
  • {BLOCKED}.{BLOCKED}131.88:80/{string}
  • {BLOCKED}.{BLOCKED}213.192:8080/{string}
  • {BLOCKED}.{BLOCKED}236.214:8080/{string}
  • {BLOCKED}7{BLOCKED}87.192:8080/{string}
  • {BLOCKED}1{BLOCKED}131.87:80/{string}
  • {BLOCKED}.{BLOCKED}.44.20:21/{string}
  • {BLOCKED}.{BLOCKED}.203.26:8080/{string}
  • {BLOCKED}.{BLOCKED}213.158:8080/{string}
  • {BLOCKED}.{BLOCKED}.72.244:53/{string}
  • {BLOCKED}.{BLOCKED}.44.150:8080/{string}
  • {BLOCKED}1{BLOCKED}43.213:8080/{string}
  • {BLOCKED}.{BLOCKED}.11.150:8080/{string}
  • {BLOCKED}.{BLOCKED}72.5:20/{string}
  • {BLOCKED}2{BLOCKED}247.10:80/{string}
  • {BLOCKED}.{BLOCKED}148.138:8080/{string}
  • {BLOCKED}9{BLOCKED}4.210:8080/{string}
  • {BLOCKED}1{BLOCKED}194.134:443/{string}
  • {BLOCKED}.{BLOCKED}94.251:80/{string}
  • {BLOCKED}.{BLOCKED}.153.86:990/{string}
  • {BLOCKED}3{BLOCKED}9.124:443/{string}
  • {BLOCKED}.{BLOCKED}.53.227:21/{string}
  • {BLOCKED}2{BLOCKED}21.170:80/{string}
  • {BLOCKED}1{BLOCKED}139.101:8080/{string}
  • {BLOCKED}1{BLOCKED}245.190:8080/{string}
  • {BLOCKED}1{BLOCKED}216.217:8080/{string}
  • {BLOCKED}1{BLOCKED}7.62:7080/{string}
  • {BLOCKED}.{BLOCKED}.140.110:8080/{string}
  • {BLOCKED}1{BLOCKED}2.199:443/{string}
  • {BLOCKED}.{BLOCKED}.51.222:8080/{string}
  • {BLOCKED}.{BLOCKED}72.5:443/{string}
  • {BLOCKED}.{BLOCKED}.207.11:443/{string}
  • {BLOCKED}.{BLOCKED}241.230:80/{string}
  • {BLOCKED}1{BLOCKED}136.232:8080/{string}
  • {BLOCKED}.{BLOCKED}.41.136:8080/{string}
  • {BLOCKED}.{BLOCKED}.47.77:8080/{string}
  • {BLOCKED}.{BLOCKED}.172.5:8080/{string}
  • {BLOCKED}.{BLOCKED}.25.128:8080/{string}
  • {BLOCKED}.{BLOCKED}.59.244:20/{string}
  • {BLOCKED}.{BLOCKED}.153.252:8080/{string}
  • {BLOCKED}.{BLOCKED}.240.91:8080/{string}
  • {BLOCKED}.{BLOCKED}.98.125:8080/{string}
  • {BLOCKED}.{BLOCKED}.234.16:8080/{string}
  • {BLOCKED}.{BLOCKED}.132.213:8090/{string}
  • {BLOCKED}.{BLOCKED}.246.93:8080/{string}
  • {BLOCKED}.{BLOCKED}.24.79:8080/{string}
  • {BLOCKED}.{BLOCKED}.71.72:8080/{string}
  • {BLOCKED}.{BLOCKED}.95.230:443/{string}
  • {BLOCKED}.{BLOCKED}.164.174:80/{string}
• where {string} can be one or a combination of any of the following strings, separated by "/":
  • teapot
  • pnp
  • tpt
  • splash
  • site
  • codec
  • health
  • balloon
  • cab
  • odbc
  • badge
  • dma
  • psec
  • cookies
  • iplk
  • devices
  • enable
  • mult
  • prov
  • vermont
  • attrib
  • schema
  • iab
  • chunk
  • publish
  • prep
  • srvc
  • sess
  • ringin
  • nsip
  • stubs
  • img
  • add
  • xian
  • jit
  • free
  • pdf
  • loadan
  • arizona
  • tlb
  • forced
  • results
  • symbols
  • report
  • guids
  • taskbar
  • child
  • cone
  • glitch
  • entries
  • between
  • bml
  • usbccid
  • sym
  • enabled
  • merge
  • window
  • scripts
  • raster
  • acquire
  • json
  • rtm
  • walk
  • ban

スパイウェアは、実行後、自身を削除します。

スパイウェアは、以下を実行します。

• スパイウェアは、ファイル名に以下の文字列を含む古い自身のコピーを削除します。
  • langs
  • buffer
  • user
  • spooler
  • tlb
  • back
  • rus
  • browser
  • org
  • flg
  • psec
  • cyan
  • err
  • chapp
  • dmi
  • join
  • started
  • cat
  • reset
  • dmrc
  • scan
  • bang
  • ripple
  • page
  • ijpn
  • cabinet
  • dasmrc
  • mgm
  • body
  • sddl
  • listof
  • york
  • mobsync
  • modern
  • dialog
  • val
  • iell
  • rowset
  • hexa
  • english
  • crimson
  • wow
  • typeb
  • brown
  • flow
  • partner
  • picture
  • size
  • ordered
  • chunker
  • shooter
  • invoke
  • init
  • bus
  • pla
  • sav
  • ipsps
  • dbml
  • builder
  • sketch
  • cube
  • sup
  • loada
  • binder
• スパイウェアは、管理者権限がある場合、スタートアップサービスを作成します。管理者権限がない場合は、レジストリに自動実行エントリのみを作成します。

<補足>
インストール

スパイウェアは、以下のフォルダを追加します。

• %AppDataLocal%\{文字列1}{文字列2} → 管理者権限なしで実行された場合

スパイウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %System%\{文字列1}{文字列2}.exe → 管理者権限ありで実行された場合
• %AppDataLocal%\{文字列1}{文字列2}\{文字列1}{文字列2}.exe → 管理者権限なしで実行された場合
  上記の{文字列1}および{文字列2}には、以下のいずれかの文字列が当てはまります。
  • term
  • with
  • poller
  • indiana
  • shader
  • sti
  • dlgs
  • metered
  • asptlb
  • conman
  • plain
  • while
  • cpl
  • crash
  • teapot
  • device
  • adam
  • battery
  • trouble
  • caching
  • hand
  • hlf
  • hero
  • smc
  • readand
  • cpls
  • network
  • engn
  • mmc
  • lcl
  • pdh
  • clw
  • vista
  • client
  • pairs
  • fsi
  • medium
  • pdeft
  • known
  • reach
  • vert
  • boost
  • snd
  • fwk
  • builder
  • iab
  • mscms
  • ssp
  • cable
  • etw
  • angle
  • ordered
  • scalar
  • songs
  • ctnt
  • server
  • chinese
  • media
  • endif
  • supp
  • setthe
  • misc
  • diagram
  • urd

スパイウェアは、以下のプロセスを追加します。

• {マルウェアのファイルパス}\{マルウェアのファイル名}.exe --{ランダムな8文字}
• %System%\{文字列1}{文字列2}.exe → 管理者権限ありで実行された場合
• %System%\{文字列1}{文字列2}.exe --{ランダムな8文字} → 管理者権限ありで実行された場合
• %AppDataLocal%\{文字列1}{文字列2}\{文字列1}{文字列2}.exe → 管理者権限なしで実行された場合
• %AppDataLocal%\{文字列1}{文字列2}\{文字列1}{文字列2}.exe --{ランダムな8文字} → 管理者権限なしで実行された場合

スパイウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• Global\I{ボリュームシリアルナンバー}
• Global\M{ボリュームシリアルナンバー}
• Global\E{ボリュームシリアル名}

情報漏えい

スパイウェアは、以下の情報を収集します。

• コンピュータ名
• プロセッサ・セッションID
• オペレーティングシステム(OS)のバージョン
• 実行中のプロセス
• CRCファイル
• プロセッサアーキテクチャ

その他

スパイウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• • {BLOCKED}.{BLOCKED}.19.232:8080/{文字列}
  • {BLOCKED}.{BLOCKED}220.155:8080/{文字列}
  • {BLOCKED}.{BLOCKED}05.223:7080/{文字列}
  • {BLOCKED}.{BLOCKED}00.130:8080/{文字列}
  • {BLOCKED}2{BLOCKED}15.66:8080/{文字列}
  • {BLOCKED}.{BLOCKED}194.138:443/{文字列}
  • {BLOCKED}.{BLOCKED}.10.37:8080/{文字列}
  • {BLOCKED}.{BLOCKED}.80.63:7080/{文字列}
  • {BLOCKED}.{BLOCKED}.238.69:465/{文字列}
  • {BLOCKED}.{BLOCKED}.67.134:8090/{文字列}
  • {BLOCKED}.{BLOCKED}.182.217:8080/{文字列
  • {BLOCKED}.{BLOCKED}.219.147:8080/{文字列
  • {BLOCKED}.{BLOCKED}.216.44:8080/{文字列}
  • {BLOCKED}.{BLOCKED}.213.2:22/{文字列}
  • {BLOCKED}.{BLOCKED}.198.66:80/{文字列}
  • {BLOCKED}.{BLOCKED}.217.49:80/{文字列}
  • {BLOCKED}1{BLOCKED}63.139:21/{文字列}
  • {BLOCKED}.{BLOCKED}135.159:21/{文字列}
  • {BLOCKED}.{BLOCKED}.182.191:8080/{文字列
  • {BLOCKED}2{BLOCKED}19.21:8080/{文字列}
  • {BLOCKED}.{BLOCKED}.177.26:8080/{文字列}
  • {BLOCKED}.{BLOCKED}161.166:443/{文字列}
  • {BLOCKED}.{BLOCKED}.247.220:80/{文字列}
  • {BLOCKED}.{BLOCKED}131.88:80/{文字列}
  • {BLOCKED}.{BLOCKED}213.192:8080/{文字列}
  • {BLOCKED}.{BLOCKED}236.214:8080/{文字列}
  • {BLOCKED}7{BLOCKED}87.192:8080/{文字列}
  • {BLOCKED}1{BLOCKED}131.87:80/{文字列}
  • {BLOCKED}.{BLOCKED}.44.20:21/{文字列}
  • {BLOCKED}.{BLOCKED}.203.26:8080/{文字列}
  • {BLOCKED}.{BLOCKED}213.158:8080/{文字列}
  • {BLOCKED}.{BLOCKED}.72.244:53/{文字列}
  • {BLOCKED}.{BLOCKED}.44.150:8080/{文字列}
  • {BLOCKED}1{BLOCKED}43.213:8080/{文字列}
  • {BLOCKED}.{BLOCKED}.11.150:8080/{文字列}
  • {BLOCKED}.{BLOCKED}72.5:20/{文字列}
  • {BLOCKED}2{BLOCKED}247.10:80/{文字列}
  • {BLOCKED}.{BLOCKED}148.138:8080/{文字列}
  • {BLOCKED}9{BLOCKED}4.210:8080/{文字列}
  • {BLOCKED}1{BLOCKED}194.134:443/{文字列}
  • {BLOCKED}.{BLOCKED}94.251:80/{文字列}
  • {BLOCKED}.{BLOCKED}.153.86:990/{文字列}
  • {BLOCKED}3{BLOCKED}9.124:443/{文字列}
  • {BLOCKED}.{BLOCKED}.53.227:21/{文字列}
  • {BLOCKED}2{BLOCKED}21.170:80/{文字列}
  • {BLOCKED}1{BLOCKED}139.101:8080/{文字列}
  • {BLOCKED}1{BLOCKED}245.190:8080/{文字列}
  • {BLOCKED}1{BLOCKED}216.217:8080/{文字列}
  • {BLOCKED}1{BLOCKED}7.62:7080/{文字列}
  • {BLOCKED}.{BLOCKED}.140.110:8080/{文字列}
  • {BLOCKED}1{BLOCKED}2.199:443/{文字列}
  • {BLOCKED}.{BLOCKED}.51.222:8080/{文字列}
  • {BLOCKED}.{BLOCKED}72.5:443/{文字列}
  • {BLOCKED}.{BLOCKED}.207.11:443/{文字列}
  • {BLOCKED}.{BLOCKED}241.230:80/{文字列}
  • {BLOCKED}1{BLOCKED}136.232:8080/{文字列}
  • {BLOCKED}.{BLOCKED}.41.136:8080/{文字列}
  • {BLOCKED}.{BLOCKED}.47.77:8080/{文字列}
  • {BLOCKED}.{BLOCKED}.172.5:8080/{文字列}
  • {BLOCKED}.{BLOCKED}.25.128:8080/{文字列}
  • {BLOCKED}.{BLOCKED}.59.244:20/{文字列}
  • {BLOCKED}.{BLOCKED}.153.252:8080/{文字列}
  • {BLOCKED}.{BLOCKED}.240.91:8080/{文字列}
  • {BLOCKED}.{BLOCKED}.98.125:8080/{文字列}
  • {BLOCKED}.{BLOCKED}.234.16:8080/{文字列}
  • {BLOCKED}.{BLOCKED}.132.213:8090/{文字列}
  • {BLOCKED}.{BLOCKED}.246.93:8080/{文字列}
  • {BLOCKED}.{BLOCKED}.24.79:8080/{文字列}
  • {BLOCKED}.{BLOCKED}.71.72:8080/{文字列}
  • {BLOCKED}.{BLOCKED}.95.230:443/{文字列}
  • {BLOCKED}.{BLOCKED}.164.174:80/{文字列}
• 上記の{文字列}には、以下のいずれかの文字列、またはいずれかを組み合わせた文字列が当てはまります。{文字列}は、 "/"により分けられています。
  • teapot
  • pnp
  • tpt
  • splash
  • site
  • codec
  • health
  • balloon
  • cab
  • odbc
  • badge
  • dma
  • psec
  • cookies
  • iplk
  • devices
  • enable
  • mult
  • prov
  • vermont
  • attrib
  • schema
  • iab
  • chunk
  • publish
  • prep
  • srvc
  • sess
  • ringin
  • nsip
  • stubs
  • img
  • add
  • xian
  • jit
  • free
  • pdf
  • loadan
  • arizona
  • tlb
  • forced
  • results
  • symbols
  • report
  • guids
  • taskbar
  • child
  • cone
  • glitch
  • entries
  • between
  • bml
  • usbccid
  • sym
  • enabled
  • merge
  • window
  • scripts
  • raster
  • acquire
  • json
  • rtm
  • walk
  • ban