TROJANSPY.WIN32.ICEDID.A

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、特定のプロセスに作成したファイルを組み込みます。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、以下のコンポーネントファイルを作成します。

• %All Users Profile%\{5-7 random character}\{8 random character}.dat ← it names all the component files as

(註：%All Users Profile%フォルダは、ユーザの共通プロファイルフォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\All Users” です。また、Windows Vista、7、8の場合、通常 "C:\ProgramData” です。)

スパイウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %All Users Profile%\{GUID}\{6-14 random characters}.exe

(註：%All Users Profile%フォルダは、ユーザの共通プロファイルフォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\All Users” です。また、Windows Vista、7、8の場合、通常 "C:\ProgramData” です。)

スパイウェアは、以下のプロセスを追加します。

• %System%\svchost.exe

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

スパイウェアは、リモートスレッドを組み込み、システムのプロセスに常駐します。

• explorer.exe - {requires reboot}
• svchost.exe - {requires reboot}
• winlogon.exe - {requires reboot}

スパイウェアは、以下のプロセスに作成したファイルを組み込みます。

• %System%\svchost.exe

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

自動実行方法

この「スケジュールされたタスク」により、以下の時間ごとにスパイウェアが実行されます。

• Task Name: {GUID}
  • Task Trigger: At every logon
  • Task Action: Start a program
    • Details: %All Users Profile%\{GUID}\{6-14 random characters}.exe

(註：%All Users Profile%フォルダは、ユーザの共通プロファイルフォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\All Users” です。また、Windows Vista、7、8の場合、通常 "C:\ProgramData” です。)

情報漏えい

スパイウェアは、以下の情報を収集します。

• Directories
• Installed Application
• Connected Devices
• Machine Name
• Username
• Workgroup
• Network Information
• OS Version
• Internet Credentials (Internet Explorer, Microsoft Edge, Google Chrome, Mozilla Firefox) through web injection and traffic tunneling:
  • Usernames and Passwords
  • Internet Cookies
  • Browsing History
  • Autofills
  • HTTP Posts responses
• CPU Information

モバイル端末を狙う不正プログラムの不正活動

スパイウェアは、以下のWebサイトへアクセスし、情報を送受信します。

• {BLOCKED}e.net/in.php?f=%50%00%45%0{BLOCKED}=4&j=1
  • Here are the details of the message sent to C&C
    • g - command ID
    • c - Customer ID (Bot ID + Unique ID)
    • a - Member ID
    • f - username
    • h - computer name
    • m - is the administrator or domain controller
    • j - CpuID
      • Possible values:
        • < 0x04 – not VM
        • 0x04 to 0x07 – VMWare
        • 0x08 to 0x0B – XenVM
        • 0x10 to 0x13 – MicroVM
        • 0x20 to 0x23 – KVMK
        • 0x80 to 0x83 – Vbox
    • s - operating system version
• {BLOCKED}e.net/in.php?g=2&c=42454B2{BLOCKED}l=
• {BLOCKED}tsearch.com/in.php?g=2&c=4{BLOCKED}3&a=2&l=
• {BLOCKED}gmc.com/in.php?g=2&c=42454{BLOCKED}2&l=
• {BLOCKED}nt.com/in.php?g=2&c=42454B{BLOCKED}&l=
• {BLOCKED}c.biz/in.php?g=2&c=42454B2{BLOCKED}l=
• {BLOCKED}tsearch.com/in.php?f=%50%0{BLOCKED}.1.32.1
• {BLOCKED}gmc.com/in.php?f=%50%00%45{BLOCKED}2.1
• {BLOCKED}nt.com/in.php?f=%50%00%45%{BLOCKED}m=4&j=1
• {BLOCKED}c.biz/in.php?f=%50%00%45%0{BLOCKED}=4&j=1
• {BLOCKED}c.biz/in.php?f=%50%00%45%0{BLOCKED}=4&j=1
• {BLOCKED}e.net/in.php?f=%50%00%45%0{BLOCKED}=4&j=1