TrojanSpy.Win32.EMOTET.TIABOFEL

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、実行後、自身を削除します。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

自動実行方法

スパイウェアは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{random string}{random string}
ImagePath = "%System%\{random string}{random string}.exe"

スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{random string}{random string} = %AppDataLocal%\{random string}{random string}\{random string}{random string}.exe

他のシステム変更

スパイウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\{random string}{random string}
Type = "16"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{random string}{random string}
DisplayName = "{random string}{random string}"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{random string}{random string}
Start = "SERVICE_AUTO_START"

作成活動

スパイウェアは、以下のファイルを作成します。

• %System%\{random string}{random string}.exe - if run with admin rights
• %AppDataLocal%\{random string}{random string}\{random string}{random string}.exe - if run without admin rights

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.. %AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)

その他

スパイウェアは、以下の不正なWebサイトにアクセスします。

• http://{BLOCKED}.{BLOCKED}.227.206:8080/taskbar/sym
• http://{BLOCKED}.{BLOCKED}.227.206:8080/stubs/pnp
• http://{BLOCKED}.{BLOCKED}.227.206:8080/vermont
• http://{BLOCKED}.{BLOCKED}.227.206:8080/cone/codec/site
• http://{BLOCKED}.{BLOCKED}.227.206:8080/teapot/devices
• http://{BLOCKED}.{BLOCKED}.227.206:8080/loadan/cone
• http://{BLOCKED}.{BLOCKED}.227.206:8080/iplk/site
• http://{BLOCKED}.{BLOCKED}.227.206:8080/merge/balloon
• http://{BLOCKED}.{BLOCKED}.227.206:8080/mult/loadan
• http://{BLOCKED}.{BLOCKED}.227.206:8080/nsip/cone
• http://{BLOCKED}.{BLOCKED}.227.206:8080/entries/srvc/psec
• http://{BLOCKED}.{BLOCKED}.227.206:8080/tlb/enabled
• http://{BLOCKED}.{BLOCKED}.227.206:8080/guids/splash/iplk/merge
• http://{BLOCKED}.{BLOCKED}.227.206:8080/enable/between/devices/merge
• http://{BLOCKED}.{BLOCKED}.227.206:8080/guids/sess/enable
• http://{BLOCKED}.{BLOCKED}.227.206:8080/free/between/mult
• http://{BLOCKED}.{BLOCKED}.227.206:8080/walk
• http://{BLOCKED}.{BLOCKED}.227.206:8080/site/devices
• {BLOCKED}.{BLOCKED}.1.149

スパイウェアは、実行後、自身を削除します。