TSPY_EMOTET.XXTL

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、Internet Explorer（IE）のゾーン設定を変更します。

ただし、情報公開日現在、このWebサイトにはアクセスできません。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %AppDataLocal%\{random name}\{random name}.exe

(註：%AppDataLocal%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local" です。)

自動実行方法

スパイウェアは、＜User Startup＞フォルダ内に、自身のコピーに誘導する以下のショートカットを作成します。これにより、Windows起動時に自身のコピーが自動実行されます。

• %User Startup%\{random name}.lnk

(註：%User Startup%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞\Start Menu\Programs\Startup" 、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、" C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup" です。.)

Webブラウザのホームページおよび検索ページの変更

スパイウェアは、IEのゾーン設定を変更します。

ダウンロード活動

スパイウェアは、以下のWebサイトにアクセスし、ファイルをダウンロードします。

• When running on a Virtual Environment, the malware connects to the following inaccessible/fake URLs:
  • http://{BLOCKED}.{BLOCKED}.24.211:443
  • http://{BLOCKED}.{BLOCKED}.22.63:443
  • http://{BLOCKED}.{BLOCKED}.5.69:443
  • http://{BLOCKED}.{BLOCKED}.82.254:443
  • http://{BLOCKED}.{BLOCKED}.81.35:8080
  • http://{BLOCKED}.{BLOCKED}.66.107:8080
  • http://{BLOCKED}.{BLOCKED}.119.91:8080
  • http://{BLOCKED}.{BLOCKED}.145.252:8080
  • http://{BLOCKED}.{BLOCKED}.172.45:8080
  • http://{BLOCKED}.{BLOCKED}.83.86:8080
  • http://{BLOCKED}.{BLOCKED}.231.207:8080
  • http://{BLOCKED}.{BLOCKED}.33.202:8080
  • http://{BLOCKED}.{BLOCKED}.215.16:8080
  • http://{BLOCKED}.{BLOCKED}.36.193:8080
• When the malware is not running on a Virtual Environment, it connects to the following URL:
  • http://{BLOCKED}.{BLOCKED}.75.19:8080

スパイウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %User Temp%\{random filename}.tmp

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

ただし、情報公開日現在、このWebサイトにはアクセスできません。

情報漏えい

スパイウェアは、保存されている以下のEメール認証情報を収集します。

• Installed mail clients