TSPY_TRICKBOT.TIDACAN

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

• %Application Data%\{folder name}\{malware name}.exe
  Where folder name can be one of the following:
  • DiskMonitor
  • mstools

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

スパイウェアは、以下のプロセスを追加します。

• svchost.exe

スパイウェアは、以下のフォルダを作成します。

• %Application Data%\{folder name}
• %Application Data%\{folder name}\Modules
• %Application Data%\{folder name}\Modules\injectDll32_configs

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

スパイウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• {17 random hex characters}

他のシステム変更

スパイウェアは、以下のファイルを改変します。

• %Application Data%\Mozilla\Firefox\Profiles\{profile folder}\prefs.js
  Appends the following strings:
  • user_pref("browser.tabs.remote.autostart.2", false);
  • user_pref("browser.tabs.remote.autostart", false);
  • user_pref("network.http.spdy.enabled.http2", false);

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

スパイウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows Defender\Exclusions\Paths
%Application Data%\{folder name}\ = 0

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\
Microsoft\Windows Defender\Exclusions\
Paths
%Application Data%\{folder name}\ = 0

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Microsoft Antimalware\Exclusions\Paths
%Application Data%\{folder name}\ = 0

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings
EnableHTTP2 = 0

作成活動

スパイウェアは、以下のファイルを作成します。

• %Application Data%\{folder name}\config.conf
• %Application Data%\{folder name}\FAQ
• %Application Data%\{folder name}\README.md
• %Application Data%\{folder name}\Modules\injectDll32 - encrypted dll
• %Application Data%\{folder name}\Modules\systeminfo32 - encrypted dll
• %Application Data%\{folder name}\Modules\injectDll32_configs\dinj - encrypted config file
• %Application Data%\{folder name}\Modules\injectDll32_configs\dpost - encrypted config file
• %Application Data%\{folder name}\Modules\injectDll32_configs\sinj - encrypted config file

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

その他

スパイウェアは、以下のWebサイトにアクセスして感染コンピュータのIPアドレスを収集します。

• wtfismyip.com

スパイウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• {BLOCKED}.{BLOCKED}.48.118:449
• {BLOCKED}.{BLOCKED}.90.102:449
• {BLOCKED}.{BLOCKED}.196.254:449
• {BLOCKED}.{BLOCKED}.207.204:449
• {BLOCKED}.{BLOCKED}.4.216:449
• {BLOCKED}.{BLOCKED}.117.95:449
• {BLOCKED}.{BLOCKED}.134.61:449
• {BLOCKED}.{BLOCKED}.73.154:449
• {BLOCKED}.{BLOCKED}.192.194:449
• {BLOCKED}.{BLOCKED}.125.37:449
• {BLOCKED}.{BLOCKED}.174.189:443
• {BLOCKED}.{BLOCKED}.102.12:449
• {BLOCKED}.{BLOCKED}.48.221:449
• {BLOCKED}.{BLOCKED}.223.63:449
• {BLOCKED}.{BLOCKED}.15.87:449
• {BLOCKED}.{BLOCKED}.215.149:449
• {BLOCKED}.{BLOCKED}.186.127:451
• {BLOCKED}.{BLOCKED}.31.46:449
• {BLOCKED}.{BLOCKED}.119.164:449
• {BLOCKED}.{BLOCKED}.49.162:449
• {BLOCKED}.{BLOCKED}.89.70:449
• {BLOCKED}.{BLOCKED}.218.104:443
• {BLOCKED}.{BLOCKED}.166.96:443
• {BLOCKED}.{BLOCKED}.198.156:443
• {BLOCKED}.{BLOCKED}.174.235:443
• {BLOCKED}.{BLOCKED}.146.107:443
• {BLOCKED}.{BLOCKED}.48.3:443
• {BLOCKED}.{BLOCKED}.37.242:443
• {BLOCKED}.{BLOCKED}.198.115:443
• {BLOCKED}.{BLOCKED}.32.144:443