TrojanSpy.Win32.EMOTET.TIOIBELN

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、実行後、自身を削除します。

ファイルサイズ 622,592 bytes

タイプ EXE

メモリ常駐はい

発見日 2020年9月16日

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

%System%\{random characters}\{random characters}.exe → if executed with administrative rights
%AppDataLocal%\{random characters}\{random characters}.exe → if executed without administrative rights

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.. %AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)

スパイウェアは、以下のプロセスを追加します。

%System%\{random characters}\{random characters}.exe → if executed with administrative rights
%AppDataLocal%\{random characters}\{random characters}.exe → if executed without administrative rights

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.. %AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)

自動実行方法

スパイウェアは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\{random characters}
=

他のシステム変更

スパイウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\{random characters}
Type = 16

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\{random characters}
Start = 2

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\{random characters}
ErrorControl = 0

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\{random characters}
ImagePath = "%System%\{random characters}\{random characters}.exe"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\{random characters}
DisplayName = {random characters}

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\{random characters}
ObjectName = LocalSystem

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\{random characters}
Description = The Diagnostic Policy Service enables problem detection, troubleshooting and resolution for Windows components. If this service is stopped, diagnostics will no longer function.

アドウェア活動

スパイウェアは、実行後、自身を削除します。

その他

スパイウェアは、以下の不正なWebサイトにアクセスします。

http://{BLOCKED}.{BLOCKED}.51.61:8080/{Random characters}
http://{BLOCKED}.{BLOCKED}.235.113:8080/{Random characters}
http://{BLOCKED}.{BLOCKED}.82.32/{Random characters}
http://{BLOCKED}.{BLOCKED}.148.81/{Random characters}
http://{BLOCKED}.{BLOCKED}.45.53/{Random characters}
http://{BLOCKED}.{BLOCKED}.11.155/{Random characters}
http://{BLOCKED}.{BLOCKED}.195.246/{Random characters}
http://{BLOCKED}.{BLOCKED}.44.53/{Random characters}
http://{BLOCKED}.{BLOCKED}.24.148/{Random characters}
http://{BLOCKED}.{BLOCKED}.187.110/{Random characters}
http://{BLOCKED}.{BLOCKED}.12.63:8080/{Random characters}
http://{BLOCKED}.{BLOCKED}.101.72:8080/{Random characters}
http://{BLOCKED}.{BLOCKED}.1.184:443/{Random characters}
http://{BLOCKED}.{BLOCKED}.138.101:7080/{Random characters}
http://{BLOCKED}.{BLOCKED}.164.178:8081/{Random characters}
http://{BLOCKED}.{BLOCKED}.42.60:8080/{Random characters}
http://{BLOCKED}.{BLOCKED}.227.113:8080/{Random characters}
http://{BLOCKED}.{BLOCKED}.78.244:8080/{Random characters}
http://{BLOCKED}.{BLOCKED}.190.154:8080/{Random characters}
http://{BLOCKED}.{BLOCKED}.183.2/{Random characters}
http://{BLOCKED}.{BLOCKED}.130.105:443/{Random characters}
http://{BLOCKED}.{BLOCKED}.227.143/{Random characters}
http://{BLOCKED}.{BLOCKED}.167.120:8080/{Random characters}
http://{BLOCKED}.{BLOCKED}.239.255/{Random characters}
http://{BLOCKED}.{BLOCKED}.118.12/{Random characters}
http://{BLOCKED}.{BLOCKED}.238.49/{Random characters}
http://{BLOCKED}.{BLOCKED}.154.240/{Random characters}
http://{BLOCKED}.{BLOCKED}.229.1/{Random characters}
http://{BLOCKED}.{BLOCKED}.236.163:443/{Random characters}
http://{BLOCKED}.{BLOCKED}.226.142:8080/{Random characters}
http://{BLOCKED}.{BLOCKED}.148.68:443/{Random characters}
http://{BLOCKED}.{BLOCKED}.135.237/{Random characters}
http://{BLOCKED}.{BLOCKED}.213.180:443/{Random characters}
http://{BLOCKED}.{BLOCKED}.179.102/{Random characters}
http://{BLOCKED}.{BLOCKED}.75.175/{Random characters}
http://{BLOCKED}.{BLOCKED}.15.20/{Random characters}
http://{BLOCKED}.{BLOCKED}.12.132/{Random characters}
http://{BLOCKED}.{BLOCKED}.133.239:443/{Random characters}
http://{BLOCKED}.{BLOCKED}.140.6/{Random characters}
http://{BLOCKED}.{BLOCKED}.144.120/{Random characters}
http://{BLOCKED}.{BLOCKED}.15.50/{Random characters}
http://{BLOCKED}.{BLOCKED}.221.191:8080/{Random characters}
http://{BLOCKED}.{BLOCKED}.217.94:8080/{Random characters}
http://{BLOCKED}.{BLOCKED}.220.183:8080/{Random characters}
http://{BLOCKED}.{BLOCKED}.56.70:8080/{Random characters}
http://{BLOCKED}.{BLOCKED}.36.108/{Random characters}
http://{BLOCKED}.{BLOCKED}.203.63:8080/{Random characters}
http://{BLOCKED}.{BLOCKED}.244.204:443/{Random characters}
http://{BLOCKED}.{BLOCKED}.177.139/{Random characters}
http://{BLOCKED}.{BLOCKED}.216.178:7080/{Random characters}
http://{BLOCKED}.{BLOCKED}.240.58/{Random characters}
http://{BLOCKED}.{BLOCKED}.215.76/{Random characters}
http://{BLOCKED}.{BLOCKED}.151.3/{Random characters}
http://{BLOCKED}.{BLOCKED}.44.183/{Random characters}
http://{BLOCKED}.{BLOCKED}.100.220:7080/{Random characters}
http://{BLOCKED}.{BLOCKED}.9.252:7080/{Random characters}
http://{BLOCKED}.{BLOCKED}.129.215:8080/{Random characters}
http://{BLOCKED}.{BLOCKED}.29.128:8080/{Random characters}
http://{BLOCKED}.{BLOCKED}.161.17/{Random characters}
http://{BLOCKED}.{BLOCKED}.131.68:8080/{Random characters}
http://{BLOCKED}.{BLOCKED}.229.152:8080/{Random characters}
http://{BLOCKED}.{BLOCKED}.70.250:8080/{Random characters}
http://{BLOCKED}.{BLOCKED}.78.109:8080/{Random characters}
http://{BLOCKED}.{BLOCKED}.140.91:7080/{Random characters}
http://{BLOCKED}.{BLOCKED}.201.19:7080/{Random characters}
http://{BLOCKED}.{BLOCKED}.163.68:7080/{Random characters}
http://{BLOCKED}.{BLOCKED}.143.245:8080/{Random characters}
http://{BLOCKED}.{BLOCKED}.215.3:8080/{Random characters}
http://{BLOCKED}.{BLOCKED}.114.64:443/{Random characters}
http://{BLOCKED}.{BLOCKED}.94.36/{Random characters}
http://{BLOCKED}.{BLOCKED}.105.76/{Random characters}
http://{BLOCKED}.{BLOCKED}.173.91:8080/{Random characters}
http://{BLOCKED}.{BLOCKED}.14.170:8080/{Random characters}
http://{BLOCKED}.{BLOCKED}.78.80:443/{Random characters}
http://{BLOCKED}.{BLOCKED}.9.137:8080/{Random characters}
http://{BLOCKED}.{BLOCKED}.62.81:20/{Random characters}
http://{BLOCKED}.{BLOCKED}.93.134/{Random characters}
http://{BLOCKED}.{BLOCKED}.253.80:443/{Random characters}
http://{BLOCKED}.{BLOCKED}.143.163/{Random characters}
http://{BLOCKED}.{BLOCKED}.58.26/{Random characters}
http://{BLOCKED}.{BLOCKED}.181.198:443/{Random characters}
http://{BLOCKED}.{BLOCKED}.145.86/{Random characters}
http://{BLOCKED}.{BLOCKED}.94.200/{Random characters}
http://{BLOCKED}.{BLOCKED}.75.46/{Random characters}
http://{BLOCKED}.{BLOCKED}.93.103:443/{Random characters}
http://{BLOCKED}.{BLOCKED}.205.155:8080/{Random characters}

対応検索エンジン: 9.850

初回 VSAPI パターンバージョン 16.244.06

初回 VSAPI パターンリリース日 2020年9月23日

VSAPI OPR パターンバージョン 16.245.00

VSAPI OPR パターンリリース日 2020年9月24日

手順 1

トレンドマイクロの機械学習型検索は、マルウェアの存在を示す兆候が確認された時点で検出し、マルウェアが実行される前にブロックします。機械学習型検索が有効になっている場合、弊社のウイルス対策製品はこのマルウェアを以下の機械学習型検出名として検出します。

Troj.Win32.TRX.XXPE50FFF036

手順 2

Windows 7、Windows 8、Windows 8.1、および Windows 10 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

手順 3

このマルウェアもしくはアドウェア等の実行により、手順中に記載されたすべてのファイル、フォルダおよびレジストリキーや値がコンピュータにインストールされるとは限りません。インストールが不完全である場合の他、オペレーティングシステム（OS）の条件によりインストールがされない場合が考えられます。手順中に記載されたファイル／フォルダ／レジストリ情報が確認されない場合、該当の手順の操作は不要ですので、次の手順に進んでください。

手順 4

Windowsをセーフモードで再起動します。

[ 詳細 ]

セーフモードでの起動：

• Windows 2000 の場合：

コンピュータを起動させます。
「Windows **** を起動しています・・・」のメッセージが表示されている間に［F8］を押します。
「Windows 拡張オプションメニュー」が表示されるので、［↓］［↑］キーを使って［セーフモード］を選択し、［Enter］を押します。

• Windows XP の場合：

コンピュータを起動させます。
「Windows **** を起動しています・・・」のメッセージが表示されている間に［F8］を押します。
「Windows 拡張オプションメニュー」が表示されるので、［↓］［↑］キーを使って［セーフモード］を選択し、［Enter］を押します。

• Windows Server 2003 の場合：

コンピュータを起動させます。
「Windows **** を起動しています・・・」のメッセージが表示されている間に［F8］を押します。
「Windows 拡張オプションメニュー」が表示されるので、［↓］［↑］キーを使って［セーフモード］を選択し、［Enter］を押します。

• Windows Vista、Windows 7 および Windows Server 2008 の場合：

コンピュータを起動させます。
「Windows **** を起動しています・・・」のメッセージが表示されている間に［F8］を押します。
「詳細ブートオプション」が表示されるので、［↓］［↑］キーを使って［セーフモード］を選択し、［Enter］を押します。

• Windows 8、8.1 および Server 2012の場合：

画面の右上隅へマウスポインタを移動し、[チャーム]バーを表示します。
マウスで、[設定]－[PC設定の変更]を選択します。
左側のパネルで、[全般]を選択します。
右側のパネルで、[PCの起動をカスタマイズする]が表示されるまで下にスクロールし、[今すぐ再起動]をクリック。コンピュータが再起動するまで待ちます。
[オプションの選択]メニューで、[トラブルシューティング]－[詳細オプション]－[スタートアップ設定]－[再起動]をクリックします。
[スタートアップ設定]メニューで、[4]キーを押し、「4）セーフモードを有効にする」を選択します。

手順 5

このレジストリ値を削除します。

[ 詳細 ]

警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。

In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\services\procinst
- Type = 16
In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\services\procinst
- Start = 2
In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\services\procinst
- ErrorControl = 0
In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\services\procinst
- ImagePath = "%System%\{random characters}\{random characters}.exe"
In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\services\procinst
- DisplayName = procinst
In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\services\procinst
- ObjectName = LocalSystem
In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\services\procinst
- Description = The Diagnostic Policy Service enables problem detection, troubleshooting and resolution for Windows components. If this service is stopped, diagnostics will no longer function.

手順 6

このレジストリキーを削除します。

[ 詳細 ]

警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。

In HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\services\{random characters}
- (null)

手順 7

以下のファイルを検索し削除します。

[ 詳細 ]

コンポーネントファイルが隠しファイル属性の場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。

%System%\{random characters}\{random characters}.exe
%AppDataLocal%\{random characters}\{random characters}.exe

手順 8

コンピュータを通常モードで再起動し、最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、「TrojanSpy.Win32.EMOTET.TIOIBELN」と検出したファイルの検索を実行してください。検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。

ご利用はいかがでしたか？　アンケートにご協力ください

概要

詳細

対応方法

リソース

サポート

会社概要

東京本社

TrojanSpy.Win32.EMOTET.TIOIBELN

概要

詳細

対応方法

リソース

サポート

会社概要

東京本社

The Americas

Asia Pacific

Europe, Middle East & Africa