• Email
• Facebook
• Twitter
• Google+
• Linkedin

Trojan.Win32.SMOKELOADER.E

---

• マルウェアタイプ: トロイの木馬型
• 破壊活動の有無: なし
• 暗号化:  
• 感染報告の有無: はい

---

  概要

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。

---

  詳細

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• {40 character ID based from Computer Name}FF

マルウェアは、以下のプロセスにコードを組み込みます。

• explorer.exe

他のシステム変更

マルウェアは、以下のファイルを削除します。

• %Application Data%\{Filename 1 Generated from Computer Name ID}:Zone.Identifier

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

プロセスの終了

マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• Autoruns.exe
• procexp.exe
• procexp64.exe
• procmon.exe
• procmon64.exe
• Tcpview.exe
• Wireshark.exe
• ProcessHacker.exe
• ollydbg.exe
• x32dbg.exe
• x64dbg.exe
• idaq.exe
• idaw.exe
• idaq64.exe
• idaw64.exe

その他

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• http://{BLOCKED}u.at/tmp/
• http://{BLOCKED}h.com/tmp/
• http://{BLOCKED}usteedrx.ru/tmp/
• http://{BLOCKED}rate.ru/tmp/

マルウェアは、以下を実行します。

• It executes itself with a higher permission level if it detects that it does not have admin access.
• It only executes malicious code when the operating system is Windows Vista or above.
• It terminates if the following DLL files indicating virtual machines or sandboxing are found
  • sbiedll (Sandboxie DLL)
  • aswhook (Avast DLL)
  • snxhk (Avast DLL)
• It terminates if the following EXE files indicating virtual machines or analysis are found
  • qemu-ga.exe
  • qga.exe
  • windanr.exe
  • vboxservice.exe
  • vboxtray.exe
  • vmtoolsd.exe
  • prl_tools.exe
• It checks for the registry keys
  • HKEY_LOCAL_MACHINE\System\CurrentControlSet\Enum\SCSI
  • HKEY_LOCAL_MACHINE\System\CurrentControlSet\Enum\IDE
  • And it terminates if it detects the presence of the following substrings within the subkeys of the aforementioned registry entries, indicating virtual machines or sandboxing
  • qemu
  • virtio
  • vmware
  • vbox
  • xen
• It terminates if the following kernel modules indicating virtual machines or sandboxing are found
  • vmci.s
  • vmusbm
  • vmmous
  • vm3dmp
  • vmrawd
  • vmmemc
  • vboxgu
  • vboxsf
  • vboxmo
  • vboxvi
  • vboxdi
  • vioser
• It terminates processes with the following Windows Class name:
  • Autoruns
  • PROCEXPL
  • PROCMON_WINDOW_CLASS
  • TcpViewClass
  • ProcessHacker
  • OllyDBG
  • The Windows Class names are checked via the following hashes
  • 0x709EE548h
  • 0x5CA3CF7Fh
  • 0x84B10DE6h
  • 0x7385FFE0h
  • 0x6EA02835h
  • 0xAF83DB01h
  • 0x7B561310h
  • 0x7384D069h

以下のスケジュールされたタスクを追加します：

• Name: Firefox Default Browser Agent {part of Computer Name ID}
  • Trigger: One Time (At 12am - 11/30/1999) - After triggered, repeat every 10 minutes indefinitely.
  • Actions: Start a program - %Application Data%\{Filename 1 Generated from Computer Name ID}

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

---

  対応方法

ご利用はいかがでしたか？　アンケートにご協力ください