TrojanSpy.Win32.TRICKBOT.AF

スパイウェアは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。 スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

スパイウェアは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

• %Application Data%\{Random Folder Name}\{Random File Name.exe}

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

スパイウェアは、以下のファイルを作成します。

• %Application Data%\{Random Folder Name}\info.dat
• %Application Data%\{Random Folder Name}\Modules\networkDll32
• %Application Data%\{Random Folder Name}\Modules\systeminfo32
• %Application Data%\{Random Folder Name}\FAQ
• %Application Data%\{Random Folder Name}\Modules\injectDll32
• %Application Data%\{Random Folder Name}\README.md
• %Application Data%\{Random Folder Name}\Modules\injectDll32_configs\dinj
• %Application Data%\{Random Folder Name}\Modules\injectDll32_configs\Dpost
• %Application Data%\{Random Folder Name}\Modules\injectDll32_configs\sinj
• %Application Data%\{Random Folder Name}\Modules\mailsearcher32
• %Application Data%\{Random Folder Name}\Modules\importDll32
• %Application Data%\{Random Folder Name}\Modules\mailsearcher32_configs\mailconf
• %Application Data%\{Random Folder Name}\Modules\networkDll32_configs\dpost

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

スパイウェアは、以下のプロセスを追加します。

• svchost.exe
• %System%\cmd.exe /c sc stop WinDefend
• %System%\cmd.exe /c sc delete WinDefend
• %System%\cmd.exe /c powershell Set-MpPreference -DisableRealtimeMonitoring $true
• %Application Data%\{Random Folder Name}\{Random File Name}.exe

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.. %Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

スパイウェアは、以下のフォルダを作成します。

• %Application Data%\{Random Folder Name}
• %Application Data%\{Random Folder Name}\Modules
• %Application Data%\{Random Folder Name}\Modules\injectDll32_configs
• %Application Data%\{Random Folder Name}\Modules\networkDll32_configs
• %Application Data%\{Random Folder Name}\Modules\mailsearcher32_configs

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

自動実行方法

この「スケジュールされたタスク」により、以下の時間ごとにスパイウェアが実行されます。

• Task Name: Msnetc
  • Task Trigger: System startup & Every 10 minutes since first triggered.
  • Task command: %Application Data%\ncssd\{malware file name}

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

その他

スパイウェアは、以下のWebサイトにアクセスして感染コンピュータのIPアドレスを収集します。

• http://checkip.amazonaws.com/
• http://ip.anysrc.net/plain/clientip
• http://ipinfo.io/ip
• http://api.ipify.org/
• http://wtfismyip.com/text
• http://icanhazip.com/

スパイウェアは、以下の不正なWebサイトにアクセスします。

• 78.{BLOCKED}9.102
• 54.2{BLOCKED}3.39
• 47.5{BLOCKED}55
• 34.2{BLOCKED}.38
• 37.1{BLOCKED}.208
• 216.5{BLOCKED}.206
• 198.{BLOCKED}146
• 176.{BLOCKED}.25
• 107.{BLOCKED}.217
• 54.{BLOCKED}9.137

マルウェアは、Windowsのコンポーネントを無効/停止/削除するために以下のコマンドを実行します。

• sc stop WinDefend
• sc delete WinDefend
• powershell Set-MpPreference -DisableRealtimeMonitoring $true