TrojanSpy.Win32.INFOSTEALER.THBOCBO

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %All Users Profile%\{random characters}\outlook.txt
• %All Users Profile%\{random characters}\information.txt
• %All Users Profile%\{random characters}\password.txt
• %All Users Profile%\{random characters}\{random characters and numbers}.zip

(註：%All Users Profile%フォルダは、ユーザの共通プロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\All Users” です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData” です。)

マルウェアは、以下のプロセスを追加します。

• C:\Windows\System32\cmd.exe" /c taskkill /im {Malware Name}.exe /f & erase {Malware Path}\{Malware Name}.exe & exit;

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスして自身のコンポーネントファイルをダウンロードします。

• {BLOCKED}imals.net/276

マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %All Users Profile%\freebl3.dll
• %All Users Profile%\mozglue.dll
• %All Users Profile%\msvcp140.dll
• %All Users Profile%\nss3.dll
• %All Users Profile%\softokn3.dll
• %All Users Profile%\vcruntime140.dll

(註：%All Users Profile%フォルダは、ユーザの共通プロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\All Users” です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData” です。)

情報漏えい

マルウェアは、以下の情報を収集します。

• Outlook Credentials
• Passwords
• Version
• Date
• Machine ID
• GUID
• Path
• Work Dir
• OS
• Computer Name
• User Name
• Display Resolution
• Display Language
• Keyboard Language
• Timezone
• Processor
• CPU Count
• RAM
• Video Card
• IP
• Location
• ISP
• Running Process in the system
• Installed Programs

情報収集

マルウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

• {BLOCKED}imals.net - send the zip file that contains all data gathered

その他

マルウェアは、以下のWebサイトにアクセスして感染コンピュータのIPアドレスを収集します。

• http://ip-api.com/line/