TSPY_TRICKBOT.TIDACBI

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

• %Application Data%\ncssd\{malware name}.exe

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

スパイウェアは、以下のファイルを作成します。

• %Application Data%\ncssd\FAQ
• %Application Data%\ncssd\info.dat
• %Application Data%\ncssd\README.md
• %Application Data%\ncssd\Modules\injectDll32
• %Application Data%\ncssd\Modules\networkDll32
• %Application Data%\ncssd\Modules\systeminfo32

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

スパイウェアは、以下のプロセスを追加します。

• svchost.exe

スパイウェアは、以下のフォルダを作成します。

• %Application Data%\ncssd
• %Application Data%\ncssd\Modules

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

自動実行方法

この「スケジュールされたタスク」により、以下の時間ごとにスパイウェアが実行されます。

• Task Name: Msnetc
  Task Trigger: System startup & Every 10 minutes since first triggered.
  Task command: %Application Data%\ncssd\{malware file name}

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

その他

スパイウェアは、以下の不正なWebサイトにアクセスします。

• http://{BLOCKED}.{BLOCKED}.111.138:8082/tot291/{encrypted data}
• {BLOCKED}vka.ru
• https://{BLOCKED}.{BLOCKED}.194.172/tot291/{encrypted data}

マルウェアは、Windowsのコンポーネントを無効/停止/削除するために以下のコマンドを実行します。

• sc stop WinDefend
• sc delete WinDefend
• powershell Set-MpPreference -DisableRealtimeMonitoring $true