TrojanSpy.Win32.TRICKBOT.TIGOCDC

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、特定のプロセスに作成したファイルを組み込みます。

スパイウェアは、感染コンピュータや感染ユーザから特定の情報を収集します。

スパイウェアは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、以下の方法でコンピュータに侵入します。

• Downloaded by Worm.JS.DLOADR.AA

インストール

スパイウェアは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

• %ProgramData%\АахХееаВеАКе.exe
• %Application Data%\mslibrary\АахХееаВеАКе.exe

(註：%ProgramData%フォルダは、マルチユーザーシステムにおいて任意のユーザがプログラムに変更を加えることができるプログラムファイルフォルダのバージョンです。これには、すべてのユーザのアプリケーションデータが含まれます。Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData" です。Windows Server 2003(32-bit)、2000(32-bit)、XPの場合、通常 "C:\Documents and Settings\All Users" です。 . %Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

スパイウェアは、以下のファイルを作成します。

• %Application Data%\mslibrary\settings.ini → Contains Encrypted Victim Key
• %Application Data%\mslibrary\Data\injectDll32 → Encrypted module that monitors banking-related URLs and/or websites
• %Application Data%\mslibrary\Data\networkDll32 → Encrypted module that steals network information
• %Application Data%\mslibrary\Data\psfin32 → Encrypted module that identifies Point-Of-Sale systems within the network
• %Application Data%\mslibrary\Data\pwgrab32 → Encrypted module that steals information from Internet Browser Applications, WinSCP, FileZilla, and Microsoft Outlook
• %Application Data%\mslibrary\Data\systeminfo32 → Encrypted module that steals information regarding the infected machine
• %Application Data%\mslibrary\Data\injectDll32_configs\dinj → Encrypted list of banking-related URLs and/or websites to monitor
• %Application Data%\mslibrary\Data\injectDll32_configs\dpost → Encrypted list of C&C servers that will receive the HTTP response to and from the monitored URLs and/or websites
• %Application Data%\mslibrary\Data\injectDll32_configs\sinj → Encrypted list of banking-related URLs and/or websites to phish
• %Application Data%\mslibrary\Data\networkDll32_configs\dpost → Encrypted list of C&C servers that will receive the stolen network information
• %Application Data%\mslibrary\Data\psfin32_configs\dpost → Encrypted list of C&C servers that will receive information from PoS systems
• %Application Data%\mslibrary\Data\pwgrab32_configs\dpost → Encrypted list of C&C servers that will receive the credentials

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

スパイウェアは、以下のプロセスを追加します。

• svchost.exe (multiple instances)

スパイウェアは、以下のフォルダを作成します。

• %Application Data%\mslibrary
• %Application Data%\mslibrary\data

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

スパイウェアは、以下のプロセスに作成したファイルを組み込みます。

• created svchost.exe instances

情報漏えい

スパイウェアは、以下の情報を収集します。

• OS information (Architecture, Caption, CSDVersion)
• CPU Information (Name)
• Memory Information
• User Accounts
• Installed Programs
• Installed Services
• IP Configuration
• Network Information (Configuration, Users, Domain Settings)
• Credentials in the following Applications:
  • Microsoft Outlook
  • PuTTy
  • Filezilla
  • Remote Desktop (RDP)
  • VNC
  • WinSCP
• Internet Browser Credentials (Internet Explorer, Microsoft Edge, Google Chrome, Mozilla Firefox):
  • Usernames and Passwords
  • Internet Cookies
  • Browsing History
  • Autofills
  • Credit card data
  • Billing info data
  • HTTP Posts responses
• Information regarding Point-Of-Sale (POS) systems in the network, by querying accounts or user name containing the following string:
  • *POS*
  • *REG*
  • *CASH*
  • *LANE*
  • *STORE*
  • *RETAIL*
  • *BOH*
  • *ALOHA*
  • *MICROS*
  • *TERM*

その他

スパイウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• http://{BLOCKED}.{BLOCKED}.117.187:8082
• http://{BLOCKED}.{BLOCKED}.243.70:8082
• http://{BLOCKED}.{BLOCKED}.180.226:8082
• http://{BLOCKED}.{BLOCKED}.105.206:8082
• http://{BLOCKED}.{BLOCKED}.160.10:8082
• http://{BLOCKED}.{BLOCKED}.16.77:80
• http://{BLOCKED}.{BLOCKED}.90.242:80
• http://{BLOCKED}.{BLOCKED}.48.54:80
• http://{BLOCKED}.{BLOCKED}.125.162:80
• http://{BLOCKED}.{BLOCKED}.238.3:80
• http://{BLOCKED}.{BLOCKED}.255.32:443
• http://{BLOCKED}.{BLOCKED}.253.94:443
• http://{BLOCKED}.{BLOCKED}.117.27:443
• http://{BLOCKED}.{BLOCKED}.116.120:443
• http://{BLOCKED}.{BLOCKED}.117.36:443
• http://{BLOCKED}.{BLOCKED}.144.61:443
• https://{BLOCKED}.{BLOCKED}.77.248:446
• https://{BLOCKED}.{BLOCKED}.56.26:449
• https://{BLOCKED}.{BLOCKED}.97.141:447
• http://{BLOCKED}.{BLOCKED}.144.61:443