TrojanSpy.Win32.EMOTET.TIABOFHO

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、以下のプロセスを追加します。

• {malware file path and name} --d8a4e4ac
• "%Windows%\SysWOW64\bidellipse.exe"
• %Windows%\SysWOW64\bidellipse.exe --4c6d0a93

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

自動実行方法

スパイウェアは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\bidellipse
ImagePath = "%Windows%\SysWOW64\bidellipse.exe"

他のシステム変更

スパイウェアは、以下のファイルを削除します。

• %Windows%\SysWOW64\bidellipse.exe:Zone.Identifier
• {malware file path and name}
• %Windows%\SysWOW64\groupfill.exe

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

スパイウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\bidellipse
DisplayName = "bidellipse"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\bidellipse
Start = "SERVICE_AUTO_START"

作成活動

スパイウェアは、以下のファイルを作成します。

• %Windows%\SysWOW64\bidellipse.exe

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

その他

スパイウェアは、以下の不正なWebサイトにアクセスします。

• http://{BLOCKED}6.161.64:8080/dfY53XN2ML
• http://{BLOCKED}6.161.64:8080/8cmZSwJf
• http://{BLOCKED}6.161.64:8080/rzbFABn7ZSXLHMqx
• http://{BLOCKED}6.161.64:8080/HBvUmJZXM
• http://{BLOCKED}6.161.64:8080/0ENoBM52
• http://{BLOCKED}6.161.64:8080/3geMGyoGPVWzSJ48p
• http://{BLOCKED}6.161.64:8080/2MDGL83mHMtMDl
• http://{BLOCKED}6.161.64:8080/cC66y
• http://{BLOCKED}6.161.64:8080/IDTyQ2lBtlURASl
• http://{BLOCKED}6.161.64:8080/KyNiUMX
• http://{BLOCKED}6.161.64:8080/IgKrOfH

このウイルス情報は、自動解析システムにより作成されました。