TrojanSpy.Win32.TRICKBOT.TIGOCER

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。 スパイウェアは、他のマルウェアに作成され、コンピュータに侵入します。

スパイウェアは、Windowsのタスクスケジューラを用いて、「スケジュールされたタスク」を作成します。これにより、作成されたコピーが実行されます。

スパイウェアは、特定のWebサイトにアクセスし、情報を送受信します。

スパイウェアは、ユーザ名およびパスワードといったオンラインバンキングに関連した個人情報を収集します。これにより、収集された情報は不正リモートユーザにより悪用される可能性があります。 スパイウェアは、感染コンピュータや感染ユーザから特定の情報を収集します。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、以下のマルウェアに作成され、コンピュータに侵入します。

• EMOTET

インストール

スパイウェアは、以下のフォルダを追加します。

• %Application Data%\syshealth
• %Application Data%\syshealth\data
• %Application Data%\syshealth\data\injectDll{XX}_configs
• %Application Data%\syshealth\data\networkDll{XX}_configs
• %Application Data%\syshealth\data\pwgrab{XX}_configs
• %Application Data%\syshealth\data\tabDlll{XX}_configs

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

スパイウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Application Data%\syshealth\{malware file name}.exe

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

スパイウェアは、以下のファイルを作成します。

• %Application Data%\syshealth\settings.ini -> Contains encrypted victim key
• Encrypted configuration files for networkDll:
  • %Application Data%\syshealth\networkDll{XX}_configs\dpost
• Encrypted configuration files for injectDll:
  • %Application Data%\syshealth\injectDll{XX}_configs\dinj
  • %Application Data%\syshealth\injectDll{XX}_configs\dpost
  • %Application Data%\syshealth\injectDll{XX}_configs\sinj
• Encrypted configuration files for networkDll:
  • %Application Data%\syshealth\networkDll{XX}_configs\dpost
• Encrypted configuration files for pwgrab:
  • %Application Data%\syshealth\pwgrab{XX}_configs\dpost
• Encrypted configuration files for tablDll:
  • %Application Data%\syshealth\tabDll{XX}_configs\dpost
• Downloaded encrypted modules used to perform different malicious behaviors:
  • %Application Data%\syshealth\importDll{XX}
  • %Application Data%\syshealth\injectDll{XX}
  • %Application Data%\syshealth\mshareDll{XX}
  • %Application Data%\syshealth\mwormDll{XX}
  • %Application Data%\syshealth\networkDll{XX}
  • %Application Data%\syshealth\pwgrab{XX}
  • %Application Data%\syshealth\tabDll{XX}
  where {XX} can be 32 or 64 depending on the OS architecture.

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

スパイウェアは、Windowsのタスクスケジューラを用いて、「スケジュールされたタスク」を作成します。これにより、作成されたコピーが実行されます。

スパイウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• Global\{17-character Victim ID}

スパイウェアは、以下のプロセスにコードを組み込みます。

• svchost.exe

バックドア活動

スパイウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• {BLOCKED}.{BLOCKED}.117.187:8082
• {BLOCKED}.{BLOCKED}.243.70:8082
• {BLOCKED}.{BLOCKED}.180.226:8082
• {BLOCKED}.{BLOCKED}.105.206:8082
• {BLOCKED}.{BLOCKED}0.16.210:8082
• {BLOCKED}.{BLOCKED}.232.124:80
• {BLOCKED}.{BLOCKED}.168.198:80
• {BLOCKED}.{BLOCKED}.102.50:80
• {BLOCKED}.{BLOCKED}.238.3:80
• {BLOCKED}.{BLOCKED}.2.83:80
• {BLOCKED}.{BLOCKED}.161.198:443
• {BLOCKED}.{BLOCKED}.3.23:443
• {BLOCKED}.{BLOCKED}.171.62:443
• {BLOCKED}.{BLOCKED}.97.44:443
• {BLOCKED}.{BLOCKED}.19.158:443
• {BLOCKED}.{BLOCKED}.40.89:443
• {BLOCKED}.{BLOCKED}.29.117:443
• {BLOCKED}.{BLOCKED}.208.27:443
• {BLOCKED}.{BLOCKED}.117.45:443
• hXXps://{BLOCKED}.{BLOCKED}.{BLOCKED}04.38:446/response/rcrd.php?
• hXXps://{BLOCKED}.{BLOCKED}.{BLOCKED}04.38:446/response.php?
• hXXps://{BLOCKED}.{BLOCKED}.{BLOCKED}04.38:446/response/getq.php?

情報漏えい

スパイウェアは、ユーザ名およびパスワードといったオンラインバンキングに関連した個人情報を収集します。これにより、収集された情報は不正リモートユーザにより悪用される可能性があります。

スパイウェアは、以下の情報を収集します。

• System Information:
  • OS Information
  • CPU
  • Memory
  • User Accounts
  • Installed Programs
  • Installed Services
• Network Information
  • IP Configuration
  • Domain Information (Users, Settings, Configuration)
• Credentials in the following Applications:
  • Microsoft Outlook
  • Filezilla
  • WinSCP
  • TeamViewer
  • KeePass
  • OpenSSH
  • OpenVPN
  • Git
• Information regarding Point-Of-Sale (POS) systems in the network, by querying accounts or user name containing the following string:
  • *POS*
  • *REG*
  • *CASH*
  • *LANE*
  • *STORE*
  • *RETAIL*
  • *BOH*
  • *ALOHA*
  • *MICROS*
  • *TERM*
• Internet Credentials (Internet Explorer, Microsoft Edge, Google Chrome, Mozilla Firefox):
  • Usernames and Passwords
  • Internet Cookies
  • Browsing History
  • Autofills
  • HTTP Posts responses
• Private Key Files (.ppk)
• Digital Certificate File (.p12 and .pfx)
• Cryptocurrency wallet files (.dat)