TrojanSpy.Win32.ICEDID.BB

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、特定のプロセスに作成したファイルを組み込みます。

スパイウェアは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %All Users Profile%\{GUID}\{6-14 Random Characters}.exe

(註：%All Users Profile%フォルダは、ユーザの共通プロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\All Users” です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData” です。)

スパイウェアは、以下のフォルダを作成します。

• %All Users Profile%\{GUID}
• %All Users Profile%\{5-7 Random Characters}

(註：%All Users Profile%フォルダは、ユーザの共通プロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\All Users” です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData” です。)

スパイウェアは、以下のプロセスに作成したファイルを組み込みます。

• %System%/svchost.exe

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

自動実行方法

この「スケジュールされたタスク」により、以下の時間ごとにスパイウェアが実行されます。

• Task Name: {GUID}
  • Task Trigger = At log on
  • Task Action = Execution of the dropped copy
  • Details = %All Users Profile%\{GUID}\{6-14 Random Characters}.exe

(註：%All Users Profile%フォルダは、ユーザの共通プロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\All Users” です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData” です。)

バックドア活動

スパイウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• where:
  • {string1} - f={Username}&h={Computer Name}&b={WorkGroup}&m={Administrator or Domain Controller}&j={CpuID}&s={OS Version}
  • {string2} - in.php?g={Command ID}&c={Customer ID (Bot ID + Unique ID)}&p=0&r=105&i=0&n=0&o=0&k=53268&a={Member ID}&1=
    where {CpuID} can be any of the following:
    • < 0x04 → not VM
    • 0x04 to 0x07 → VMWare
    • 0x08 to 0x0B → XenVM
    • 0x10 to 0x13 → MicroVM
    • 0x20 to 0x23 → KVMK
    • 0x80 to 0x83 → Vbox
• http://{BLOCKED}isti.com/{string1}
• http://{BLOCKED}isti.com/{string2}
• http://{BLOCKED}ure.pw/{string1}
• http://{BLOCKED}ure.pw/{string2}
• http://{BLOCKED}adar.com/{string1}
• http://{BLOCKED}adar.com/{string2}
• http://{BLOCKED}tion.pw/{string1}
• http://{BLOCKED}tion.pw/{string2}
• http://{BLOCKED}usef.com/{string1}
• http://{BLOCKED}usef.com/{string2}
• http://{BLOCKED}ppsi.com/{string1}
• http://{BLOCKED}ppsi.com/{string2}
• http://{BLOCKED}pant.com/{string1}
• http://{BLOCKED}pant.com/{string2}
• http://{BLOCKED}erki.com/{string1}
• http://{BLOCKED}erki.com/{string2}
• http://{BLOCKED}ues.pw/{string1}
• http://{BLOCKED}ues.pw/{string2}
• http://{BLOCKED}tion.pw/{string1}
• http://{BLOCKED}tion.pw/{string2}