TrojanSpy.Win32.ICEDID.AF

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、特定のプロセスに作成したファイルを組み込みます。

スパイウェアは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %All Users Profile%\{GUID}\{6-14 random characters}.exe

(註：%All Users Profile%フォルダは、ユーザの共通プロファイルフォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\All Users” です。また、Windows Vista、7、8の場合、通常 "C:\ProgramData” です。)

スパイウェアは、以下のファイルを作成します。

• %All Users Profile%\{5-7 random character}\{8 random character}.dat

(註：%All Users Profile%フォルダは、ユーザの共通プロファイルフォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\All Users” です。また、Windows Vista、7、8の場合、通常 "C:\ProgramData” です。)

スパイウェアは、以下のプロセスを追加します。

• %System%\svchost.exe

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

スパイウェアは、以下のフォルダを作成します。

• %All Users Profile%\{5-7 random character}

(註：%All Users Profile%フォルダは、ユーザの共通プロファイルフォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\All Users” です。また、Windows Vista、7、8の場合、通常 "C:\ProgramData” です。)

スパイウェアは、リモートスレッドを組み込み、システムのプロセスに常駐します。

• explorer.exe - {requires reboot}
• svchost.exe - {requires reboot}
• winlogon.exe - {requires reboot}

スパイウェアは、以下のプロセスに作成したファイルを組み込みます。

• %System%\svchost.exe

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

情報漏えい

スパイウェアは、以下の情報を収集します。

• Auto-fill Data
• Browsing History
• CPU Information
• Connected Devices
• List of Directories
• HTTP Posts responses
• Installed Applications
• Internet Cookies
• Internet Credentials (Internet Explorer, Microsoft Edge, Google Chrome, Mozilla Firefox) through web injection and traffic tunneling.
• Computer Machine Name
• Network Information
• OS Version
• Username
• Usernames and Passwords
• Workgroup

その他

スパイウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• https://cr{BLOCKED}sti.c{BLOCKED}n.php