• Email
• Facebook
• Twitter
• Google+
• Linkedin

TrojanSpy.Win32.EMOTET.JSHSMM

---

• マルウェアタイプ: スパイウェア/情報窃取型
• 破壊活動の有無: なし
• 暗号化: はい
• 感染報告の有無: はい

---

  概要

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、実行後、自身を削除します。

ただし、情報公開日現在、このWebサイトにはアクセスできません。

---

  詳細

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• If sample executed with administrative privileges:
  • %System%\{String1}{String2}.exe
• If sample executed without administrative privileges:
  • %AppDataLocal%\{String1}{String2}\{String1}{String2}.exe

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.. %AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)

スパイウェアは、以下のプロセスを追加します。

• {Malware file path}\{Malware file name}.exe --{8 random characters}
• If sample executed with administrative privileges:
  • %System%\{String1}{String2}.exe
  • %System%\{String1}{String2}.exe --{8 random characters}
• If sample executed without administrative privileges:
  • %AppDataLocal%\{String1}{String2}\{String1}{String2}.exe
  • %AppDataLocal%\{String1}{String2}\{String1}{String2}.exe --{8 random characters}

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.. %AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)

スパイウェアは、以下のフォルダを作成します。

• If the sample is executed without administrative privileges:
  • %AppDataLocal%\{String1}{String2}

(註：%AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)

スパイウェアは、実行後、自身を削除します。

スパイウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• Global\I{Volume serial number}
• Global\M{Volume serial number}
• Global\E{Volume serial name}

自動実行方法

スパイウェアは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{String1}{String2}
ImagePath = %System%\{String1}{String2}.exe

スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
{String1}{String2} = %AppDataLocal%\{String1}{String2}\{String1}{String2}.exe

バックドア活動

スパイウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• http://{BLOCKED}.219:8080/{random characters}
• http://{BLOCKED}104:8080/{random characters}
• http://{BLOCKED}.199:8080/{random characters}
• http://{BLOCKED}28:8080/{random characters}
• http://{BLOCKED}7.33:443/{random characters}
• http://{BLOCKED}3.252:8080/{random characters}
• http://{BLOCKED}147:8080/{random characters}
• http://{BLOCKED}215:8080/{random characters}
• http://{BLOCKED}6.169:80/{random characters}
• http://{BLOCKED}.171:80/{random characters}
• http://{BLOCKED}.69:80/{random characters}
• http://{BLOCKED}.110:8080/{random characters}
• http://{BLOCKED}76:443/{random characters}
• http://{BLOCKED}6.170:80/{random characters}
• http://{BLOCKED}23:8080/{random characters}
• http://{BLOCKED}.107:80/{random characters}
• http://{BLOCKED}6.241:80/{random characters}
• http://{BLOCKED}.231:80/{random characters}
• http://{BLOCKED}6.219:8080/{random characters}
• http://{BLOCKED}105:80/{random characters}
• http://{BLOCKED}.77:80/{random characters}
• http://{BLOCKED}.44:8080/{random characters}
• http://{BLOCKED}11:8080/{random characters}
• http://{BLOCKED}26:443/{random characters}
• http://{BLOCKED}.54:443/{random characters}
• http://{BLOCKED}.82:443/{random characters}
• http://{BLOCKED}8.128:443/{random characters}
• http://{BLOCKED}72:8080/{random characters}
• http://{BLOCKED}6.104:80/{random characters}
• http://{BLOCKED}.66:8080/{random characters}
• http://{BLOCKED}5.227:8080/{random characters}
• http://{BLOCKED}2.43:80/{random characters}
• http://{BLOCKED}7.108:8080/{random characters}
• http://{BLOCKED}.205:80/{random characters}
• http://{BLOCKED}.232:8080/{random characters}
• http://{BLOCKED}5.60:80/{random characters}
• http://{BLOCKED}:8080/{random characters}
• http://{BLOCKED}237:80/{random characters}
• http://{BLOCKED}3.133:8080/{random characters}
• http://{BLOCKED}2.217:8080/{random characters}
• http://{BLOCKED}72:80/{random characters}
• http://{BLOCKED}66:8080/{random characters}
• http://{BLOCKED}199:443/{random characters}
• http://{BLOCKED}47:443/{random characters}
• http://{BLOCKED}181:8080/{random characters}
• http://{BLOCKED}5.225:443/{random characters}
• http://{BLOCKED}5.206:80/{random characters}
• http://{BLOCKED}213:8080/{random characters}
• http://{BLOCKED}7.135:80/{random characters}
• http://{BLOCKED}10:8080/{random characters}
• http://{BLOCKED}21:8080/{random characters}
• http://{BLOCKED}.87:80/{random characters}
• http://{BLOCKED}.34:443/{random characters}
• http://{BLOCKED}90:80/{random characters}
• http://{BLOCKED}5.224:80/{random characters}
• http://{BLOCKED}5.112:7080/{random characters}
• http://{BLOCKED}.216:443/{random characters}
• http://{BLOCKED}1.252:443/{random characters}
• http://{BLOCKED}248:80/{random characters}
• http://{BLOCKED}5:443/{random characters}
• http://{BLOCKED}2.213:8090/{random characters}
• http://{BLOCKED}192:8080/{random characters}
• http://{BLOCKED}0.121:80/{random characters}
• http://{BLOCKED}:80/{random characters}
• http://{BLOCKED}9.126:443/{random characters}
• http://{BLOCKED}49:80/{random characters}
• http://{BLOCKED}145:80/{random characters}
• http://{BLOCKED}.91:8080/{random characters}
• http://{BLOCKED}24:443/{random characters}
• http://{BLOCKED}7.217:80/{random characters}
• http://{BLOCKED}210:8080/{random characters}
• http://{BLOCKED}.150:8080/{random characters}
• http://{BLOCKED}.13:80/{random characters}
• http://{BLOCKED}.211:80/{random characters}
• http://{BLOCKED}9:8080/{random characters}
• http://{BLOCKED}.101:8080/{random characters}
• http://{BLOCKED}.174:80/{random characters}
• http://{BLOCKED}3:443/{random characters}
• http://{BLOCKED}128:8080/{random characters}
• http://{BLOCKED}161:80/{random characters}
• http://{BLOCKED}193:8080/{random characters}
• http://{BLOCKED}.180:443/{random characters}
• http://{BLOCKED}:443/{random characters}
• http://{BLOCKED}147:8080/{random characters}
• http://{BLOCKED}21:80/{random characters}
• http://{BLOCKED}82:80/{random characters}
• http://{BLOCKED}3.106:80/{random characters}
• http://{BLOCKED}7.86:80/{random characters}
• http://{BLOCKED}.66:8080/{random characters}
• http://{BLOCKED}.119:80/{random characters}
• http://{BLOCKED}.33:80/{random characters}
• http://{BLOCKED}7.124:443/{random characters}
• http://{BLOCKED}.129:8080/{random characters}
• http://{BLOCKED}.56:80/{random characters}
• http://{BLOCKED}.105:80/{random characters}
• http://{BLOCKED}.52:8080/{random characters}
• http://{BLOCKED}.66:443/{random characters}
• http://{BLOCKED}227:80/{random characters}
• http://{BLOCKED}47:80/{random characters}
• http://{BLOCKED}212:80/{random characters}
• http://{BLOCKED}133:80/{random characters}
• http://{BLOCKED}3.224:80/{random characters}
• http://{BLOCKED}4.207:8080/{random characters}
• http://{BLOCKED}9.107:80/{random characters}
• http://{BLOCKED}.5:443/{random characters}
• http://{BLOCKED}98:80/{random characters}
• http://{BLOCKED}9.83:8080/{random characters}
• http://{BLOCKED}6.93:8080/{random characters}
• http://{BLOCKED}.121:443/{random characters}
• http://{BLOCKED}20:7080/{random characters}
• http://{BLOCKED}.69:443/{random characters}
• http://{BLOCKED}.169:80/{random characters}
• http://{BLOCKED}1.202:8090/{random characters}
• http://{BLOCKED}4:80/{random characters}
• http://{BLOCKED}.226:7080/{random characters}
• http://{BLOCKED}.221:8080/{random characters}
• http://{BLOCKED}.4:8080/{random characters}
• http://{BLOCKED}.159:21/{random characters}
• http://{BLOCKED}6.124:80/{random characters}
• http://{BLOCKED}.153:80/{random characters}
• http://{BLOCKED}2.191:8080/{random characters}
• http://{BLOCKED}4.182:443/{random characters}
• http://{BLOCKED}.180:80/{random characters}
• http://{BLOCKED}.58:80/{random characters}
• http://{BLOCKED}.117:80/{random characters}
• http://{BLOCKED}7:8080/{random characters}
• http://{BLOCKED}09:443/{random characters}

情報漏えい

スパイウェアは、以下の情報を収集します。

• Computer Name
• Process SessionId
• OS Version
• Running Processes
• File CRC
• Processor Architecture

その他

スパイウェアは、以下を実行します。

• It creates the service for persistence if the sample is executed with administrative privileges, otherwise it uses an autorun registry.
• It combines any two of the following strings and uses it as its filename "{String1}{String2}":
  • duck
  • mfidl
  • targets
  • ptr
  • khmer
  • purge
  • metrics
  • acc
  • inet
  • msra
  • symbol
  • driver
  • sidebar
  • restore
  • msg
  • volume
  • cards
  • shext
  • query
  • roam
  • etw
  • mexico
  • basic
  • url
  • createa
  • blb
  • pal
  • cors
  • send
  • devices
  • radio
  • bid
  • format
  • thrd
  • taskmgr
  • timeout
  • vmd
  • ctl
  • bta
  • shlp
  • avi
  • exce
  • dbt
  • pfx
  • rtp
  • edge
  • mult
  • clr
  • wmistr
  • ellipse
  • vol
  • cyan
  • ses
  • guid
  • wce
  • wmp
  • dvb
  • elem
  • channel
  • space
  • digital
  • pdeft
  • violet
  • thunk
• It deletes outdated copies of itself with a combination of any two of the following strings as its file name:
  • texas
  • func
  • deploy
  • run
  • leel
  • stuck
  • def
  • print
  • hal
  • monthly
  • pdf
  • char
  • netsh
  • memo
  • trns
  • rds
  • maker
  • more
  • textto
  • chunker
  • mailbox
  • compon
  • shades
  • scan
  • non
  • wsat
  • speed
  • publish
  • manual
  • hant
  • inbox
  • malert
  • zap
  • fill
  • angle
  • wrap
  • boost
  • cors
  • iplk
  • sitka
  • wow
  • prints
  • acquire
  • wiz
  • smo
  • footer
  • attrib
  • group
  • appid
  • xcl
  • sensor
  • methods
  • ipmi
  • raw
  • title
  • nic
  • ias
  • lua
  • dispid
  • special
  • serial
  • wsa
  • tcg
  • msp

ただし、情報公開日現在、このWebサイトにはアクセスできません。

---

  対応方法

ご利用はいかがでしたか？　アンケートにご協力ください