更新者 : Arvin Roi Macaraeg
 別名:

Trojan-Banker.Win32.Emotet.eosq (Kaspersky); Emotet-FPF (NAI)

 プラットフォーム:

Windows

 危険度:
 ダメージ度:
 感染力:
 感染確認数:
 情報漏えい:

  • マルウェアタイプ:
    スパイウェア/情報窃取型

  • 破壊活動の有無:
    なし

  • 暗号化:
    はい

  • 感染報告の有無 :
    はい

  概要

スパイウェアは、実行後、自身を削除します。

スパイウェアは、特定のWebサイトにアクセスし、情報を送受信します。

ただし、情報公開日現在、このWebサイトにはアクセスできません。

  詳細

ファイルサイズ 639,147 bytes
タイプ EXE
メモリ常駐 はい
発見日 2020年1月17日
ペイロード URLまたはIPアドレスに接続

インストール

スパイウェアは、以下のフォルダを追加します。

  • %AppDataLocal%\{String1}{String2}

(註：%AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)

スパイウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

  • If sample executed with administrative privileges:
    • %System%\{String1}{String2}.exe
  • If sample executed without administrative privileges:
    • %AppDataLocal%\{String1}{String2}\{String1}{String2}.exe

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.. %AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)

スパイウェアは、以下のプロセスを追加します。

  • {Malware File Path}\{Malware File Name}.exe --{8 Random Characters}
  • If sample executed with administrative privileges:
    • %System%\{String1}{String2}.exe
    • %System%\{String1}{String2}.exe --{8 Random Characters}
  • If sample executed without administrative privileges:
    • %AppDataLocal%\{String1}{String2}\{String1}{String2}.exe
    • %AppDataLocal%\{String1}{String2}\{String1}{String2}.exe --{8 Random Characters}

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.. %AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)

スパイウェアは、実行後、自身を削除します。

スパイウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

  • Global\I{Volume Serial Number}
  • Global\M{Volume Serial Number}

自動実行方法

スパイウェアは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{String1}{String2}
ImagePath = %System%\{String1}{String2}.exe

スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
{String1}{String2} = %AppDataLocal%\{String1}{String2}\{String1}{String2}.exe

バックドア活動

スパイウェアは、以下のWebサイトにアクセスし、情報を送受信します。

  • {BLOCKED}.{BLOCKED}.254.82:80/{random characters}
  • {BLOCKED}.{BLOCKED}.126.11:443/{random characters}
  • {BLOCKED}.{BLOCKED}.200.208:8080/{random characters}
  • {BLOCKED}.{BLOCKED}.245.100:80/{random characters}
  • {BLOCKED}.{BLOCKED}.30.33:443/{random characters}
  • {BLOCKED}.{BLOCKED}.12.228:80/{random characters}
  • {BLOCKED}.{BLOCKED}.129.215:8080/{random characters}
  • {BLOCKED}.{BLOCKED}.24.25:8080/{random characters}
  • {BLOCKED}.{BLOCKED}.131.107:80/{random characters}
  • {BLOCKED}.{BLOCKED}.29.128:8080/{random characters}
  • {BLOCKED}.{BLOCKED}.74.214:443/{random characters}
  • {BLOCKED}.{BLOCKED}.79.182:80/{random characters}
  • {BLOCKED}.{BLOCKED}.192.231:8080/{random characters}
  • {BLOCKED}.{BLOCKED}.229.152:8080/{random characters}
  • {BLOCKED}.{BLOCKED}.6.116:8080/{random characters}
  • {BLOCKED}.{BLOCKED}.78.109:8080/{random characters}
  • {BLOCKED}.{BLOCKED}.134.203:8080/{random characters}
  • {BLOCKED}.{BLOCKED}.113.97:8080/{random characters}
  • {BLOCKED}.{BLOCKED}.224.18:80/{random characters}
  • {BLOCKED}.{BLOCKED}.173.117:80/{random characters}
  • {BLOCKED}.{BLOCKED}.212.149:80/{random characters}
  • {BLOCKED}.{BLOCKED}.119.188:443/{random characters}
  • {BLOCKED}.{BLOCKED}.152.140:80/{random characters}
  • {BLOCKED}.{BLOCKED}.161.86:443/{random characters}
  • {BLOCKED}.{BLOCKED}.196.78:443/{random characters}
  • {BLOCKED}.{BLOCKED}.205.162:7080/{random characters}
  • {BLOCKED}.{BLOCKED}.208.221:80/{random characters}
  • {BLOCKED}.{BLOCKED}.30.28:80/{random characters}
  • {BLOCKED}.{BLOCKED}.212.209:8080/{random characters}
  • {BLOCKED}.{BLOCKED}.14.170:8080/{random characters}
  • {BLOCKED}.{BLOCKED}.6.174:80/{random characters}
  • {BLOCKED}.{BLOCKED}.76.47:80/{random characters}
  • {BLOCKED}.{BLOCKED}.58.38:80/{random characters}
  • {BLOCKED}.{BLOCKED}.78.80:443/{random characters}
  • {BLOCKED}.{BLOCKED}.165.52:8080/{random characters}
  • {BLOCKED}.{BLOCKED}.132.35:80/{random characters}
  • {BLOCKED}.{BLOCKED}.170.128:80/{random characters}
  • {BLOCKED}.{BLOCKED}.60.109:443/{random characters}
  • {BLOCKED}.{BLOCKED}.87.133:8080/{random characters}
  • {BLOCKED}.{BLOCKED}.102.195:80/{random characters}
  • {BLOCKED}.{BLOCKED}.32.88:8080/{random characters}
  • {BLOCKED}.{BLOCKED}.43.153:8080/{random characters}
  • {BLOCKED}.{BLOCKED}.15.188:8080/{random characters}
  • {BLOCKED}.{BLOCKED}.244.92:80/{random characters}
  • {BLOCKED}.{BLOCKED}.55.23:7080/{random characters}
  • {BLOCKED}.{BLOCKED}.88.159:80/{random characters}
  • {BLOCKED}.{BLOCKED}.190.235:443/{random characters}
  • {BLOCKED}.{BLOCKED}.122.211:80/{random characters}
  • {BLOCKED}.{BLOCKED}.181.247:80/{random characters}
  • {BLOCKED}.{BLOCKED}.181.198:443/{random characters}
  • {BLOCKED}.{BLOCKED}.26.78:80/{random characters}
  • {BLOCKED}.{BLOCKED}.140.80:80/{random characters}
  • {BLOCKED}.{BLOCKED}.53.159:443/{random characters}
  • {BLOCKED}.{BLOCKED}.225.15:80/{random characters}
  • {BLOCKED}.{BLOCKED}.173.150:8080/{random characters}
  • {BLOCKED}.{BLOCKED}.169.210:80/{random characters}
  • {BLOCKED}.{BLOCKED}.93.103:443/{random characters}
  • {BLOCKED}.{BLOCKED}.31.181:80/{random characters}
  • {BLOCKED}.{BLOCKED}.131.122:80/{random characters}
  • {BLOCKED}.{BLOCKED}.207.86:7080/{random characters}
  • {BLOCKED}.{BLOCKED}.212.157:8080/{random characters}
  • {BLOCKED}.{BLOCKED}.217.200:8080/{random characters}
  • {BLOCKED}.{BLOCKED}.140.226:80/{random characters}
  • {BLOCKED}.{BLOCKED}.241.106:80/{random characters}
  • {BLOCKED}.{BLOCKED}.235.113:8080/{random characters}
  • {BLOCKED}.{BLOCKED}.118.164:80/{random characters}
  • {BLOCKED}.{BLOCKED}.161.90:80/{random characters}
  • {BLOCKED}.{BLOCKED}.195.176:80/{random characters}
  • {BLOCKED}.{BLOCKED}.127.48:80/{random characters}
  • {BLOCKED}.{BLOCKED}.116.57:443/{random characters}
  • {BLOCKED}.{BLOCKED}.104.238:7080/{random characters}
  • {BLOCKED}.{BLOCKED}.63.27:80/{random characters}
  • {BLOCKED}.{BLOCKED}.175.133:80/{random characters}
  • {BLOCKED}.{BLOCKED}.175.129:8080/{random characters}
  • {BLOCKED}.{BLOCKED}.114.180:443/{random characters}
  • {BLOCKED}.{BLOCKED}.12.63:8080/{random characters}
  • {BLOCKED}.{BLOCKED}.101.72:8080/{random characters}
  • {BLOCKED}.{BLOCKED}.91.187:80/{random characters}
  • {BLOCKED}.{BLOCKED}.153.251:8080/{random characters}
  • {BLOCKED}.{BLOCKED}.137.131:80/{random characters}
  • {BLOCKED}.{BLOCKED}.163.232:80/{random characters}
  • {BLOCKED}.{BLOCKED}.164.178:8081/{random characters}
  • {BLOCKED}.{BLOCKED}.167.246:8080/{random characters}
  • {BLOCKED}.{BLOCKED}.171.255:443/{random characters}
  • {BLOCKED}.{BLOCKED}.153.20:80/{random characters}
  • {BLOCKED}.{BLOCKED}.46.90:8080/{random characters}
  • {BLOCKED}.{BLOCKED}.107.70:8080/{random characters}
  • {BLOCKED}.{BLOCKED}.142.118:80/{random characters}
  • {BLOCKED}.{BLOCKED}.70.207:8080/{random characters}
  • {BLOCKED}.{BLOCKED}.140.68:80/{random characters}
  • {BLOCKED}.{BLOCKED}.93.123:80/{random characters}
  • {BLOCKED}.{BLOCKED}.130.105:443/{random characters}
  • {BLOCKED}.{BLOCKED}.118.12:8080/{random characters}
  • {BLOCKED}.{BLOCKED}.29.136:8080/{random characters}
  • {BLOCKED}.{BLOCKED}.96.86:443/{random characters}
  • {BLOCKED}.{BLOCKED}.27.123:80/{random characters}
  • {BLOCKED}.{BLOCKED}.137.199:8080/{random characters}
  • {BLOCKED}.{BLOCKED}.3.63:80/{random characters}
  • {BLOCKED}.{BLOCKED}.123.60:443/{random characters}
  • {BLOCKED}.{BLOCKED}.40.21:8080/{random characters}
  • {BLOCKED}.{BLOCKED}.167.25:443/{random characters}
  • {BLOCKED}.{BLOCKED}.57.205:443/{random characters}
  • {BLOCKED}.{BLOCKED}.75.240:443/{random characters}
  • {BLOCKED}.{BLOCKED}.245.204:80/{random characters}
  • {BLOCKED}.{BLOCKED}.173.136:8080/{random characters}
  • {BLOCKED}.{BLOCKED}.155.123:990/{random characters}
  • {BLOCKED}.{BLOCKED}.47.161:443/{random characters}
  • {BLOCKED}.{BLOCKED}.213.180:443/{random characters}
  • {BLOCKED}.{BLOCKED}.153.139:80/{random characters}
  • {BLOCKED}.{BLOCKED}.144.85:7080/{random characters}
  • {BLOCKED}.{BLOCKED}.162.204:80/{random characters}
  • {BLOCKED}.{BLOCKED}.94.108:443/{random characters}
  • {BLOCKED}.{BLOCKED}.210.113:80/{random characters}
  • {BLOCKED}.{BLOCKED}.217.94:8080/{random characters}
  • {BLOCKED}.{BLOCKED}.241.221:443/{random characters}
  • {BLOCKED}.{BLOCKED}.220.183:8080/{random characters}
  • {BLOCKED}.{BLOCKED}.56.70:8080/{random characters}
  • {BLOCKED}.{BLOCKED}.88.254:80/{random characters}
  • {BLOCKED}.{BLOCKED}.251.100:80/{random characters}
  • {BLOCKED}.{BLOCKED}.216.178:7080/{random characters}
  • {BLOCKED}.{BLOCKED}.57.50:80/{random characters}
  • {BLOCKED}.{BLOCKED}.160.220:80/{random characters}
  • {BLOCKED}.{BLOCKED}.65.117:80/{random characters}
  • {BLOCKED}.{BLOCKED}.154.102:80/{random characters}
  • {BLOCKED}.{BLOCKED}.113.235:80/{random characters}
  • {BLOCKED}.{BLOCKED}.37.196:8080/{random characters}
  • {BLOCKED}.{BLOCKED}.70.174:80/{random characters}

情報漏えい

スパイウェアは、以下の情報を収集します。

  • Computer Name
  • Process SessionId
  • OS Version
  • Running Processes
  • File CRC
  • Processor Architecture

その他

スパイウェアは、以下を実行します。

  • It creates the service for persistence if the sample is executed with administrative privileges, otherwise it uses an autorun registry.
  • It combines any two of the following strings and uses it as its file name:
    • texas
    • func
    • deploy
    • run
    • leel
    • stuck
    • def
    • print
    • hal
    • monthly
    • pdf
    • char
    • netsh
    • memo
    • trns
    • rds
    • maker
    • more
    • textto
    • chunker
    • mailbox
    • compon
    • shades
    • scan
    • non
    • wsat
    • speed
    • publish
    • manual
    • hant
    • inbox
    • malert
    • zap
    • fill
    • angle
    • wrap
    • boost
    • cors
    • iplk
    • sitka
    • wow
    • prints
    • acquire
    • wiz
    • smo
    • footer
    • attrib
    • group
    • appid
    • xcl
    • sensor
    • methods
    • ipmi
    • raw
    • title
    • nic
    • ias
    • lua
    • dispid
    • special
    • serial
    • wsa
    • tcg
    • msp
  • It deletes outdated copies of itself with a combination of any two of the following strings as its file name:
    • delete
    • band
    • ipsm
    • sspi
    • div
    • rdp
    • whole
    • dir
    • privacy
    • make
    • watched
    • pano
    • which
    • goto
    • wnd
    • rep
    • ceip
    • date
    • render
    • bag
    • vsc
    • vsa
    • mouse
    • counter
    • tech
    • wheel
    • ranker
    • iterate
    • store
    • sum
    • package
    • timeout
    • idebug
    • junos
    • site
    • trc
    • url
    • coffee
    • poller
    • remote
    • gapa
    • changes
    • duck
    • ppl
    • tlogcm
    • tlb
    • cube
    • hexa
    • vol
    • paint
    • star
    • nav
    • grp
    • avatar
    • center
    • cipher
    • brm
    • resize
    • markup
    • pausea
    • loan
    • emboss
    • vsperf
    • teal

ただし、情報公開日現在、このWebサイトにはアクセスできません。

＜補足＞
インストール

スパイウェアは、以下のフォルダを追加します。

  • %AppDataLocal%\{文字列1}{文字列2}

スパイウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

  • スパイウェアが、管理者権限ありで実行された場合：
    • %System%\{文字列1}{文字列2}.exe
  • スパイウェアが、管理者権限なしで実行された場合：
    • %AppDataLocal%\{文字列1}{文字列2}\{文字列1}{文字列2}.exe

スパイウェアは、以下のプロセスを追加します。

  • {マルウェアのファイルパス}\{マルウェアのファイル名}.exe --{ランダムな8文字}
  • スパイウェアが、管理者権限ありで実行された場合：
    • %System%\{文字列1}{文字列2}.exe
    • %System%\{文字列1}{文字列2}.exe --{ランダムな8文字}
  • スパイウェアが、管理者権限なしで実行された場合：
    • %AppDataLocal%\{文字列1}{文字列2}\{文字列1}{文字列2}.exe
    • %AppDataLocal%\{文字列1}{文字列2}\{文字列1}{文字列2}.exe --{ランダムな8文字}

スパイウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

  • Global\I{ボリュームシリアルナンバー}
  • Global\M{ボリュームシリアルナンバー}

バックドア活動

スパイウェアは、以下のWebサイトにアクセスし、情報を送受信します。

  • {BLOCKED}.{BLOCKED}.254.82:80/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.126.11:443/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.200.208:8080/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.245.100:80/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.30.33:443/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.12.228:80/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.129.215:8080/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.24.25:8080/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.131.107:80/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.29.128:8080/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.74.214:443/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.79.182:80/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.192.231:8080/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.229.152:8080/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.6.116:8080/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.78.109:8080/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.134.203:8080/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.113.97:8080/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.224.18:80/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.173.117:80/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.212.149:80/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.119.188:443/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.152.140:80/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.161.86:443/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.196.78:443/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.205.162:7080/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.208.221:80/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.30.28:80/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.212.209:8080/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.14.170:8080/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.6.174:80/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.76.47:80/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.58.38:80/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.78.80:443/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.165.52:8080/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.132.35:80/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.170.128:80/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.60.109:443/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.87.133:8080/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.102.195:80/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.32.88:8080/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.43.153:8080/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.15.188:8080/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.244.92:80/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.55.23:7080/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.88.159:80/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.190.235:443/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.122.211:80/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.181.247:80/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.181.198:443/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.26.78:80/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.140.80:80/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.53.159:443/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.225.15:80/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.173.150:8080/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.169.210:80/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.93.103:443/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.31.181:80/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.131.122:80/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.207.86:7080/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.212.157:8080/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.217.200:8080/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.140.226:80/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.241.106:80/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.235.113:8080/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.118.164:80/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.161.90:80/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.195.176:80/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.127.48:80/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.116.57:443/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.104.238:7080/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.63.27:80/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.175.133:80/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.175.129:8080/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.114.180:443/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.12.63:8080/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.101.72:8080/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.91.187:80/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.153.251:8080/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.137.131:80/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.163.232:80/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.164.178:8081/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.167.246:8080/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.171.255:443/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.153.20:80/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.46.90:8080/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.107.70:8080/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.142.118:80/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.70.207:8080/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.140.68:80/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.93.123:80/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.130.105:443/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.118.12:8080/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.29.136:8080/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.96.86:443/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.27.123:80/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.137.199:8080/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.3.63:80/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.123.60:443/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.40.21:8080/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.167.25:443/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.57.205:443/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.75.240:443/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.245.204:80/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.173.136:8080/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.155.123:990/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.47.161:443/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.213.180:443/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.153.139:80/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.144.85:7080/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.162.204:80/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.94.108:443/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.210.113:80/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.217.94:8080/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.241.221:443/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.220.183:8080/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.56.70:8080/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.88.254:80/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.251.100:80/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.216.178:7080/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.57.50:80/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.160.220:80/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.65.117:80/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.154.102:80/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.113.235:80/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.37.196:8080/{ランダムな文字}
  • {BLOCKED}.{BLOCKED}.70.174:80/{ランダムな文字}

情報漏えい

スパイウェアは、以下の情報を収集します。

  • コンピュータ名
  • プロセスセッションID
  • オペレーティングシステム（OS）のバージョン
  • 実行中のプロセス
  • ファイルのCRC
  • プロセッサアーキテクチャ

その他

スパイウェアは、以下を実行します。

  • スパイウェアは、管理者権限ありで実行された場合、パーシステンス(持続化)のためのサービスを作成します。管理者権限なしで実行された場合は、自動実行レジストリを使用します。
  • スパイウェアは、以下の文字列のいずれかの2つを組み合わせて、ファイル名として使用します。
    • texas
    • func
    • deploy
    • run
    • leel
    • stuck
    • def
    • print
    • hal
    • monthly
    • pdf
    • char
    • netsh
    • memo
    • trns
    • rds
    • maker
    • more
    • textto
    • chunker
    • mailbox
    • compon
    • shades
    • scan
    • non
    • wsat
    • speed
    • publish
    • manual
    • hant
    • inbox
    • malert
    • zap
    • fill
    • angle
    • wrap
    • boost
    • cors
    • iplk
    • sitka
    • wow
    • prints
    • acquire
    • wiz
    • smo
    • footer
    • attrib
    • group
    • appid
    • xcl
    • sensor
    • methods
    • ipmi
    • raw
    • title
    • nic
    • ias
    • lua
    • dispid
    • special
    • serial
    • wsa
    • tcg
    • msp
  • スパイウェアは、以下の文字列のいずれか2つを組み合わせてファイル名として使用し、自身の古いコピーを削除します。
    • delete
    • band
    • ipsm
    • sspi
    • div
    • rdp
    • whole
    • dir
    • privacy
    • make
    • watched
    • pano
    • which
    • goto
    • wnd
    • rep
    • ceip
    • date
    • render
    • bag
    • vsc
    • vsa
    • mouse
    • counter
    • tech
    • wheel
    • ranker
    • iterate
    • store
    • sum
    • package
    • timeout
    • idebug
    • junos
    • site
    • trc
    • url
    • coffee
    • poller
    • remote
    • gapa
    • changes
    • duck
    • ppl
    • tlogcm
    • tlb
    • cube
    • hexa
    • vol
    • paint
    • star
    • nav
    • grp
    • avatar
    • center
    • cipher
    • brm
    • resize
    • markup
    • pausea
    • loan
    • emboss
    • vsperf
    • teal

  対応方法

対応検索エンジン: 9.850
初回 VSAPI パターンバージョン 15.626.04
初回 VSAPI パターンリリース日 2020年1月17日
VSAPI OPR パターンバージョン 15.627.00
VSAPI OPR パターンリリース日 2020年1月18日

手順 1

Windows XP、Windows Vista および Windows 7 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

手順 2

このマルウェアもしくはアドウェア等の実行により、手順中に記載されたすべてのファイル、フォルダおよびレジストリキーや値がコンピュータにインストールされるとは限りません。インストールが不完全である場合の他、オペレーティングシステム（OS）の条件によりインストールがされない場合が考えられます。手順中に記載されたファイル／フォルダ／レジストリ情報が確認されない場合、該当の手順の操作は不要ですので、次の手順に進んでください。

手順 3

Windowsをセーフモードで再起動します。

[ 詳細 ]

手順 4

このレジストリキーを削除します。

[ 詳細 ]

警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。

 
  • In HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services
    • {String1}{String2}

手順 5

このレジストリ値を削除します。

[ 詳細 ]

警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。

  • In HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
    • {String1}{String2} = %AppDataLocal%\{String1}{String2}\{String1}{String2}.exe

手順 6

以下のファイルを検索し削除します。

[ 詳細 ]
コンポーネントファイルが隠しファイル属性の場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。
  • %AppDataLocal%\{String1}{String2}\{String1}{String2}.exe
  • %System%\{String1}{String2}.exe

手順 7

以下のフォルダを検索し削除します。

[ 詳細 ]
註：このフォルダは、隠しフォルダとして設定されている場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。
  • %AppDataLocal%\{String1}{String2}

手順 8

コンピュータを通常モードで再起動し、最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、「TrojanSpy.Win32.EMOTET.TIABOFGT」と検出したファイルの検索を実行してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。

手順 9

最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「TrojanSpy.Win32.EMOTET.TIABOFGT」と検出したファイルはすべて削除してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。


ご利用はいかがでしたか？　アンケートにご協力ください