TrojanSpy.Win32.NOON.TIOIBEBZ

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェア マルウェアは、自身（コンピュータに侵入して最初に自身のコピーを作成した スパイウェア ）を削除します。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、異なるファイル名を用いて以下のフォルダ内に自身のコピーを作成します。

• %Program Files%\{random name 1}\{random name 2}.exe
• %User Temp%\{random name 1}\{random name 2}.exe

(註：%Program Files%フォルダは、デフォルトのプログラムファイルフォルダです。Windows 2000、Server 2003、XP（32-bit）,Vista（32-bit）、7（32-bit）、8（32-bit）の場合、通常 "C:\Program Files"です。また、Windows XP（64-bit）、Vista（64-bit）、7（64-bit）、8（64-bit）の場合、通常 "C:\Program Files（x86）" です。. %User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

スパイウェアは、以下のプロセスを追加します。

• {Malware filepath}\{Malware filename}

スパイウェアは、以下のフォルダを作成します。

• %Program Files%\{random name 1}
• %User Temp%\{random name 1}
• %Application Data%\{random name 1}

(註：%Program Files%フォルダは、デフォルトのプログラムファイルフォルダです。Windows 2000、Server 2003、XP（32-bit）,Vista（32-bit）、7（32-bit）、8（32-bit）の場合、通常 "C:\Program Files"です。また、Windows XP（64-bit）、Vista（64-bit）、7（64-bit）、8（64-bit）の場合、通常 "C:\Program Files（x86）" です。. %User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

スパイウェアは、以下の通常のプロセスにスレッドを組み込みます。

• explorer.exe

スパイウェアは、以下のプロセスにコードを組み込みます。

• {Malware filepath}\{Malware filename} (The process added by the malware)

情報漏えい

スパイウェアは、以下の情報を収集します。

• Keystrokes
• User's SID
• Operating system version
• Operating system architecture
• Username
• Clipboard content

スパイウェアは、保存されている以下のEメール認証情報を収集します。

• Microsoft Outlook
• Mozilla Thunderbird

スパイウェアは、以下のブラウザから、ユーザ名、パスワードやホスト名といった保存された情報を収集します。

• Google Chrome
• Internet Explorer
• Firefox
• Opera

情報収集

スパイウェアは、以下のファイル内に収集した情報を保存します。

• %Application Data%\N1L772RV\N1Llog.ini – Keystrokes
• %Application Data%\N1L772RV\N1Llogrg.ini - Google passwords
• %Application Data%\N1L772RV\N1Llogim.jpeg - Screenshot
• %Application Data%\N1L772RV\N1Llogrv.ini - Windows Vault passwords
• %Application Data%\N1L772RV\N1Llogri.ini - Internet Explorer passwords
• %Application Data%\N1L772RV\N1Llogrf.ini - Firefox passwords
• %Application Data%\N1L772RV\N1Llogrt.ini - Thunderbird passwords
• %Application Data%\N1L772RV\N1Llogrc.ini - Outlook passwords
• %Application Data%\N1L772RV\N1Llogcl.ini - Clipboard content
• %Application Data%\N1L772RV\N1Llogro.ini - Opera passwords

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

スパイウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

• http://www.{BLOCKED}tingfromaracist.com/uz/
• http://www.{BLOCKED}dai.com/uz/
• http://www.{BLOCKED}ngs.com/uz/
• http://www.{BLOCKED}tdy.com/uz/
• http://www.{BLOCKED}llsmb.com/uz/
• http://www.{BLOCKED}o.zone/uz/
• http://www.{BLOCKED}vices.net/uz/
• http://www.{BLOCKED}gn.cloud/uz/
• http://www.{BLOCKED}ourneyparking.com/uz/
• http://www.{BLOCKED}uty.com/uz/
• http://www.{BLOCKED}kills.info/uz/
• http://www.{BLOCKED}roup.com/uz/
• http://www.{BLOCKED}ndeddie.com/uz/
• http://www.{BLOCKED}ibilitycheck.com/uz/
• http://www.{BLOCKED}ngyi.com/uz/
• http://www.{BLOCKED}ine.com/uz/
• http://www.{BLOCKED}iews.com/uz/
• http://www.{BLOCKED}ialmediaexaminer.com/uz/
• http://www.{BLOCKED}il.com/uz/
• http://www.{BLOCKED}onbroadway.com/uz/
• http://www.{BLOCKED}tay.com/uz/
• http://www.{BLOCKED}ciaga.com/uz/
• http://www.{BLOCKED}i.red/uz/
• http://www.{BLOCKED}-beatz.com/uz/
• http://www.{BLOCKED}w.com/uz/
• http://www.{BLOCKED}esformoney12.com/uz/
• http://www.{BLOCKED}lighting.com/uz/

その他

スパイウェア は、自身（コンピュータに侵入して最初に自身のコピーを作成した スパイウェア ）を削除します。

スパイウェアは、以下を実行します。

• スパイウェアは、explorer.exeにスレッドを挿入するためにコードを作成し以下のプロセスに挿入します。
  • svchost.exe
  • msiexec.exe
  • wuauclt.exe
  • lsass.exe
  • wlanext.exe
  • msg.exe
  • lsm.exe
  • dwm.exe
  • help.exe
  • chkdsk.exe
  • cmmon32.exe
  • nbtstat.exe
  • spoolsv.exe
  • rdpclip.exe
  • control.exe
  • taskhost.exe
  • rundll32.exe
  • systray.exe
  • audiodg.exe
  • wininit.exe
  • services.exe
  • autochk.exe
  • autoconv.exe
  • autofmt.exe
  • cmstp.exe
  • colorcpl.exe
  • cscript.exe
  • explorer.exe
  • WWAHost.exe
  • ipconfig.exe
  • msdt.exe
  • mstsc.exe
  • NAPSTAT.EXE
  • netsh.exe
  • NETSTAT.EXE
  • reserver.exe
  • wscript.exe
  • wuapp.exe
  • cmd.exe

<補足>
インストール

スパイウェアは、異なるファイル名を用いて以下のフォルダ内に自身のコピーを作成します。

• %Program Files%\{ランダムな名前 1}\{ランダムな名前 2}.exe
• %User Temp%\{ランダムな名前 1}\{ランダムな名前 2}.exe

スパイウェアは、以下のプロセスを追加します。

• {マルウェアのファイルパス}\{マルウェアのファイル名}

スパイウェアは、以下のフォルダを作成します。

• %Program Files%\{ランダムな名前 1}
• %User Temp%\{ランダムな名前 1}
• %Application Data%\{ランダムな名前 1}

スパイウェアは、以下のプロセスにコードを組み込みます。

• {マルウェアのファイルパス}\{マルウェアのファイル名} (マルウェアにより追加されたプロセス)

情報漏えい

スパイウェアは、以下の情報を収集します。

• キー入力操作情報
• ユーザのSID
• オペレーティングシステム（OS）のバージョン
• OSアーキテクチャ
• ユーザ名
• クリップボードのコンテンツ

情報収集

スパイウェアは、以下のファイル内に収集した情報を保存します。

• %Application Data%\N1L772RV\N1Llog.ini – キー入力操作情報
• %Application Data%\N1L772RV\N1Llogrg.ini - Googleのパスワード
• %Application Data%\N1L772RV\N1Llogim.jpeg - スクリーンショット
• %Application Data%\N1L772RV\N1Llogrv.ini - Windows Vaultのパスワード
• %Application Data%\N1L772RV\N1Llogri.ini - Internet Explorerのパスワード
• %Application Data%\N1L772RV\N1Llogrf.ini - Firefoxのパスワード
• %Application Data%\N1L772RV\N1Llogrt.ini - Thunderbirdのパスワード
• %Application Data%\N1L772RV\N1Llogrc.ini - Outlookのパスワード
• %Application Data%\N1L772RV\N1Llogcl.ini - クリップボードのコンテンツ
• %Application Data%\N1L772RV\N1Llogro.ini - Operaのパスワード