• Email
• Facebook
• Twitter
• Google+
• Linkedin

Trojan.Win32.DROPPR.TIOIBEOL

---

• マルウェアタイプ: トロイの木馬型
• 破壊活動の有無: なし
• 暗号化:  
• 感染報告の有無: はい

---

  概要

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

---

  詳細

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のフォルダを追加します。

• %User Temp%\_ir_sf_temp_0
• %Application Data%\Telegram Desktop

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

マルウェアは、以下のファイルを作成します。

• %User Temp%\_ir_sf_temp_0\irsetup.exe
• %User Temp%\_ir_sf_temp_0\lua5.1.dll
• %User Temp%\_ir_sf_temp_0\irsetup.dat
• %User Temp%\_ir_sf_temp_0\IRIMG1.JPG
• %User Temp%\_ir_sf_temp_0\IRIMG2.JPG
• %User Temp%\_ir_sf_temp_0\Ico.ico
• %Application Data%\Telegram Desktop\Ico.ico
• %Application Data%\Telegram Desktop\log.txt
• %Application Data%\Telegram Desktop\Telegram.exe
• %Application Data%\Telegram Desktop\tdata\3BAA486BE9BF1618s
• %Application Data%\Telegram Desktop\tdata\672E7007DFDC2A3Es
• %Application Data%\Telegram Desktop\tdata\6E0F31C32448EA2Bs
• %Application Data%\Telegram Desktop\tdata\9AE11729EABEB84Es
• %Application Data%\Telegram Desktop\tdata\D486F174C4FE30C0s
• %Application Data%\Telegram Desktop\tdata\D877F783D5D3EF8Cs
• %Application Data%\Telegram Desktop\tdata\DA331D8985149F7Fs
• %Application Data%\Telegram Desktop\tdata\key_datas
• %Application Data%\Telegram Desktop\tdata\prefix
• %Application Data%\Telegram Desktop\tdata\settingss
• %Application Data%\Telegram Desktop\tdata\shortcuts-custom.json
• %Application Data%\Telegram Desktop\tdata\shortcuts-default.json
• %Application Data%\Telegram Desktop\tdata\usertag
• %Application Data%\Telegram Desktop\CrashRpt.dll
• %Application Data%\Telegram Desktop\tdata\libvxf.dat
• %Application Data%\Telegram Desktop\tdata\libvxf.tdl
• %Application Data%\Telegram Desktop\tdata\libvxf.vdl
• %Application Data%\Telegram Desktop\tdata\libvxf.vds
• %Application Data%\Telegram Desktop\tdata\libxscore.bundle
• %Application Data%\Telegram Desktop\tdata\main.ui
• %Application Data%\Telegram Desktop\leaivadr.exe
• %Application Data%\Telegram Desktop\tdata\icudtl.dat
• %Desktop%\Telegram.lnk
• %User Profile%\Pictures\{random numbers}.Inf
• %Public%\Documents\{random characters}.bat
• %Public%\Documents\dkckf.jpg
• %Public%\Documents\scgdc.jpg

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。. %Desktop%フォルダは、現在ログオンしているユーザのデスクトップです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Desktop" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\Desktop" です。. %User Profile%フォルダは、現在ログオンしているユーザのプロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞" です。. %Public%フォルダは、すべてのユーザ共通のファイルまたはフォルダのリポジトリとして機能するフォルダです。Windows Vista、7、8の場合、通常 "C:\Users\Public" です。)

マルウェアは、以下のプロセスを追加します。

• "%User Temp%\_ir_sf_temp_0\irsetup.exe" __IRAOFF:1815074 "__IRAFN:{malware file path}\{malware file name}" "__IRCT:3" "__IRTSS:0" "__IRSID:{SID}"
• "%Application Data%\Telegram Desktop\leaivadr.exe" dght
• "%Application Data%\Telegram Desktop\Telegram.exe"
• notepad
• "%Application Data%\Telegram Desktop\leaivadr.exe"

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
leaivadr = %Public%\Documents\{random characters}.bat

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
%Public%\Documents\{random characters}.bat = %Application Data%\Telegram Desktop\leaivadr.exe

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\sgkdlv
InstallTime = {Installation Date}

HKEY_CURRENT_USER\Software\Microsoft\
IEAK\GroupPolicy\PendingGPOs
Count = 1

HKEY_CURRENT_USER\Software\Microsoft\
IEAK\GroupPolicy\PendingGPOs
Path1 = %User Profile%\Pictures\{random numbers}.Inf

HKEY_CURRENT_USER\Software\Microsoft\
IEAK\GroupPolicy\PendingGPOs
Section1 = DefaultInstall

その他

マルウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\sgkdlv

HKEY_CURRENT_USER\Software\Microsoft\
IEAK

HKEY_CURRENT_USER\Software\Microsoft\
IEAK\GroupPolicy

HKEY_CURRENT_USER\Software\Microsoft\
IEAK\GroupPolicy\PendingGPOs

---

  対応方法

ご利用はいかがでしたか？　アンケートにご協力ください