TrojanSpy.Win32.EMOTET.UWAOIBENC

2022年3月16日

解析者: Khristian Joseph Morales

別名:

Trojan:Win32/Emotet.ARJ!MTB(MICROSOFT); Trojan-Banker.Win32.Emotet.eqxk(KASPERSKY);

プラットフォーム:

Windows

危険度:

ダメージ度:

感染力:

感染確認数:

情報漏えい:

マルウェアタイプ: スパイウェア/情報窃取型
破壊活動の有無: なし
暗号化: はい
感染報告の有無: はい

概要

感染経路インターネットからのダウンロード, 他のマルウェアからの作成

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、実行後、自身を削除します。

ただし、情報公開日現在、このWebサイトにはアクセスできません。

詳細

ファイルサイズ 557,421 bytes

タイプ EXE

メモリ常駐はい

発見日 2022年3月4日

ペイロード URLまたはIPアドレスに接続, 情報収集

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

If sample executed with administrative privileges:
- %System%\{String1}{String2}.exe
If sample executed without administrative privileges:
- %AppDataLocal%\{String1}{String2}\{String1}{String2}.exe

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.. %AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)

スパイウェアは、以下のプロセスを追加します。

{Malware file path}\{Malware file name}.exe --{8 Random Characters}
If sample executed with administrative privileges:
- %System%\{String1}{String2}.exe
- %System%\{String1}{String2}.exe --{8 Random Characters}
If sample executed without administrative privileges:
- %AppDataLocal%\{String1}{String2}\{String1}{String2}.exe
- %AppDataLocal%\{String1}{String2}\{String1}{String2}.exe --{8 Random Characters}

スパイウェアは、以下のフォルダを作成します。

If the sample is executed without administrative privileges:
- %AppDataLocal%\{String1}{String2}

(註：%AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)

スパイウェアは、実行後、自身を削除します。

スパイウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

Global\I{Volume Serial Number}
Global\M{Volume Serial Number}

自動実行方法

スパイウェアは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{String1}{String2}
ImagePath = %System%\{String1}{String2}.exe

情報漏えい

スパイウェアは、以下の情報を収集します。

Computer Name
Process SessionId
OS Version
Running Processes
File CRC
Processor Architecture

情報収集

スパイウェアは、HTTPポストを介して、収集した情報を以下のURLに送信します。

http://{BLOCKED}.{BLOCKED}.31.120:8080/{random characters}
http://{BLOCKED}.{BLOCKED}.154.102/{random characters}
http://{BLOCKED}.{BLOCKED}.179.121:8080/{random characters}
http://{BLOCKED}.{BLOCKED}.121.27:8080/{random characters}
http://{BLOCKED}.{BLOCKED}.43.153:8080/{random characters}
http://{BLOCKED}.{BLOCKED}.12.63:8080/{random characters}
http://{BLOCKED}.{BLOCKED}.137.131/{random characters}
http://{BLOCKED}.{BLOCKED}.33.71/{random characters}
http://{BLOCKED}.{BLOCKED}.78.109:8080/{random characters}
https://{BLOCKED}.{BLOCKED}.47.161:443/{random characters}
http://{BLOCKED}.{BLOCKED}.143.182/{random characters}
http://{BLOCKED}.{BLOCKED}.192.231:8080/{random characters}
http://{BLOCKED}.{BLOCKED}.75.204:8080/{random characters}
http://{BLOCKED}.{BLOCKED}.155.123:990/{random characters}
http://{BLOCKED}.{BLOCKED}.233.119/{random characters}
http://{BLOCKED}.{BLOCKED}.5.17/{random characters}
http://{BLOCKED}.{BLOCKED}.35.84/{random characters}
https://{BLOCKED}.{BLOCKED}.123.60:443/{random characters}
https://{BLOCKED}.{BLOCKED}.78.80:443/{random characters}
https://{BLOCKED}.{BLOCKED}.130.105:443/{random characters}
https://{BLOCKED}.{BLOCKED}.53.159:443/{random characters}
http://{BLOCKED}.{BLOCKED}.74.164/{random characters}
http://{BLOCKED}.{BLOCKED}.22.145/{random characters}
https://{BLOCKED}.{BLOCKED}.126.11:443/{random characters}
http://{BLOCKED}.{BLOCKED}.113.235/{random characters}
http://{BLOCKED}.{BLOCKED}.142.115/{random characters}
http://{BLOCKED}.{BLOCKED}.140.226/{random characters}
http://{BLOCKED}.{BLOCKED}.70.207:8080/{random characters}
http://{BLOCKED}.{BLOCKED}.55.23:7080/{random characters}
http://{BLOCKED}.{BLOCKED}.31.181/{random characters}
http://{BLOCKED}.{BLOCKED}.56.70:8080/{random characters}
https://{BLOCKED}.{BLOCKED}.86.136:443/{random characters}
http://{BLOCKED}.{BLOCKED}.167.120:8080/{random characters}
http://{BLOCKED}.{BLOCKED}.217.94:8080/{random characters}
http://{BLOCKED}.{BLOCKED}.225.15/{random characters}
https://{BLOCKED}.{BLOCKED}.188.29:443/{random characters}
https://{BLOCKED}.{BLOCKED}.74.214:443/{random characters}
http://{BLOCKED}.{BLOCKED}.113.97:8080/{random characters}
http://{BLOCKED}.{BLOCKED}.246.238/{random characters}
http://{BLOCKED}.{BLOCKED}.140.80/{random characters}
http://{BLOCKED}.{BLOCKED}.170.128/{random characters}
http://{BLOCKED}.{BLOCKED}.251.100/{random characters}
http://{BLOCKED}.{BLOCKED}.171.165/{random characters}
http://{BLOCKED}.{BLOCKED}.35.84/{random characters}
http://{BLOCKED}.{BLOCKED}.173.117/{random characters}
http://{BLOCKED}.{BLOCKED}.29.128:8080/{random characters}
https://{BLOCKED}.{BLOCKED}.213.180:443/{random characters}
http://{BLOCKED}.{BLOCKED}.13.135:8080/{random characters}
http://{BLOCKED}.{BLOCKED}.131.122/{random characters}
http://{BLOCKED}.{BLOCKED}.140.68/{random characters}
https://{BLOCKED}.{BLOCKED}.66.216:443/{random characters}
http://{BLOCKED}.{BLOCKED}.158.97/{random characters}
http://{BLOCKED}.{BLOCKED}.153.139/{random characters}
http://{BLOCKED}.{BLOCKED}.84.54/{random characters}
http://{BLOCKED}.{BLOCKED}.195.176/{random characters}
https://{BLOCKED}.{BLOCKED}.114.180:443/{random characters}
http://{BLOCKED}.{BLOCKED}.230.33/{random characters}
http://{BLOCKED}.{BLOCKED}.70.174/{random characters}
https://{BLOCKED}.{BLOCKED}.167.25:443/{random characters}
http://{BLOCKED}.{BLOCKED}.240.93/{random characters}
https://{BLOCKED}.{BLOCKED}.115.11:443/{random characters}
http://{BLOCKED}.{BLOCKED}.27.123/{random characters}
http://{BLOCKED}.{BLOCKED}.7.188/{random characters}
http://{BLOCKED}.{BLOCKED}.163.232/{random characters}
http://{BLOCKED}.{BLOCKED}.119.137/{random characters}
http://{BLOCKED}.{BLOCKED}.26.78/{random characters}
http://{BLOCKED}.{BLOCKED}.7.166:8080/{random characters}
http://{BLOCKED}.{BLOCKED}.153.20/{random characters}
http://{BLOCKED}.{BLOCKED}.57.50/{random characters}
http://{BLOCKED}.{BLOCKED}.46.90:8080/{random characters}
https://{BLOCKED}.{BLOCKED}.94.108:443/{random characters}
http://{BLOCKED}.{BLOCKED}.220.183:8080/{random characters}
http://{BLOCKED}.{BLOCKED}.212.209:8080/{random characters}
http://{BLOCKED}.{BLOCKED}.247.216/{random characters}
http://{BLOCKED}.{BLOCKED}.122.211/{random characters}
http://{BLOCKED}.{BLOCKED}.175.215/{random characters}
http://{BLOCKED}.{BLOCKED}.244.92/{random characters}
http://{BLOCKED}.{BLOCKED}.79.182/{random characters}
http://{BLOCKED}.{BLOCKED}.15.188:8080/{random characters}
http://{BLOCKED}.{BLOCKED}.164.178:8081/{random characters}
http://{BLOCKED}.{BLOCKED}.254.82/{random characters}
http://{BLOCKED}.{BLOCKED}.40.21:8080/{random characters}
http://{BLOCKED}.{BLOCKED}.167.246:8080/{random characters}
http://{BLOCKED}.{BLOCKED}.70.226/{random characters}
http://{BLOCKED}.{BLOCKED}.6.174/{random characters}
http://{BLOCKED}.{BLOCKED}.129.215:8080/{random characters}
http://{BLOCKED}.{BLOCKED}.87.198:8080/{random characters}
http://{BLOCKED}.{BLOCKED}.109.159:8080/{random characters}
http://{BLOCKED}.{BLOCKED}.118.12:8080/{random characters}
http://{BLOCKED}.{BLOCKED}.222.187/{random characters}
http://{BLOCKED}.{BLOCKED}.134.203:8080/{random characters}
http://{BLOCKED}.{BLOCKED}.88.6/{random characters}
https://{BLOCKED}.{BLOCKED}.96.86:443/{random characters}
http://{BLOCKED}.{BLOCKED}.18.169:8080/{random characters}
http://{BLOCKED}.{BLOCKED}.162.204/{random characters}
http://{BLOCKED}.{BLOCKED}.93.123/{random characters}
http://{BLOCKED}.{BLOCKED}.182.136/{random characters}
https://{BLOCKED}.{BLOCKED}.93.103:443/{random characters}
http://{BLOCKED}.{BLOCKED}.229.152:8080/{random characters}
http://{BLOCKED}.{BLOCKED}.207.86:7080/{random characters}
https://{BLOCKED}.{BLOCKED}.190.235:443/{random characters}
http://{BLOCKED}.{BLOCKED}.6.116:8080/{random characters}
http://{BLOCKED}.{BLOCKED}.245.204/{random characters}
http://{BLOCKED}.{BLOCKED}.131.107/{random characters}
https://{BLOCKED}.{BLOCKED}.171.255:443/{random characters}
http://{BLOCKED}.{BLOCKED}.92.114/{random characters}
http://{BLOCKED}.{BLOCKED}.71.88/{random characters}
https://{BLOCKED}.{BLOCKED}.170.33:443/{random characters}
http://{BLOCKED}.{BLOCKED}.151.148/{random characters}
http://{BLOCKED}.{BLOCKED}.14.27:8080/{random characters}
http://{BLOCKED}.{BLOCKED}.137.199:8080/{random characters}
http://{BLOCKED}.{BLOCKED}.107.70:8080/{random characters}
http://{BLOCKED}.{BLOCKED}.118.164/{random characters}
http://{BLOCKED}.{BLOCKED}.85.43:8080/{random characters}
https://{BLOCKED}.{BLOCKED}.182.138:443/{random characters}
http://{BLOCKED}.{BLOCKED}.238.62/{random characters}
http://{BLOCKED}.{BLOCKED}.165.52:8080/{random characters}
http://{BLOCKED}.{BLOCKED}.36.142/{random characters}
http://{BLOCKED}.{BLOCKED}.116.139:995/{random characters}
http://{BLOCKED}.{BLOCKED}.156.10:7080/{random characters}
https://{BLOCKED}.{BLOCKED}.116.57:443/{random characters}
https://{BLOCKED}.{BLOCKED}.60.109:443/{random characters}
http://{BLOCKED}.{BLOCKED}.95.233:7080/{random characters}
http://{BLOCKED}.{BLOCKED}.101.18:8080/{random characters}
http://{BLOCKED}.{BLOCKED}.173.136:8080/{random characters}
https://{BLOCKED}.{BLOCKED}.75.240:443/{random characters}
http://{BLOCKED}.{BLOCKED}.32.88:8080/{random characters}

その他

ただし、情報公開日現在、このWebサイトにはアクセスできません。

スパイウェアは、以下を実行します。

管理者権限で実行された場合は活動永続化ためのサービスを作成し、そうでない場合は永続化を行いません。
以下の文字列のうち任意の2つを組み合わせて、ファイル名 "{文字列1}{文字列2}" として使用します。　
- duck
- mfidl
- targets
- ptr
- khmer
- purge
- metrics
- acc
- inet
- msra
- symbol
- driver
- sidebar
- restore
- msg
- volume
- cards
- shext
- query
- roam
- etw
- mexico
- basic
- url
- createa
- blb
- pal
- cors
- send
- devices
- radio
- bid
- format
- thrd
- taskmgr
- timeout
- vmd
- ctl
- bta
- shlp
- avi
- exce
- dbt
- pfx
- rtp
- edge
- mult
- clr
- wmistr
- ellipse
- vol
- cyan
- ses
- guid
- wce
- wmp
- dvb
- elem
- channel
- space
- digital
- pdeft
- violet
- thunk
以下の2つの文字列の組み合わせをファイル名に持つ古くなった自身のコピーを削除します。
- texas
- func
- deploy
- run
- leel
- stuck
- def
- print
- hal
- monthly
- pdf
- char
- netsh
- memo
- trns
- rds
- maker
- more
- textto
- chunker
- mailbox
- compon
- shades
- scan
- non
- wsat
- speed
- publish
- manual
- hant
- inbox
- malert
- zap
- fill
- angle
- wrap
- boost
- cors
- iplk
- sitka
- wow
- prints
- acquire
- wiz
- smo
- footer
- attrib
- group
- appid
- xcl
- sensor
- methods
- ipmi
- raw
- title
- nic
- ias
- lua
- dispid
- special
- serial
- wsa
- tcg
- msp

＜補足＞
インストール

スパイウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

管理者権限で実行された場合:
- %System%\{文字列1}{文字列2}.exe
管理者権限を持たずに実行された場合:
- %AppDataLocal%\{文字列1}{文字列2}\{文字列1}{文字列2}.exe

スパイウェアは、以下のプロセスを追加します。

{スパイウェアのファイルパス}\{スパイウェアのファイル名}.exe --{ランダムな8文字}
管理者権限で実行された場合:
- %System%\{文字列1}{文字列2}.exe
- %System%\{文字列1}{文字列2}.exe --{ランダムな8 文字}
管理者権限を持たずに実行された場合:
- %AppDataLocal%\{文字列1}{文字列2}\{文字列1}{文字列2}.exe
- %AppDataLocal%\{文字列1}{文字列2}\{文字列1}{文字列2}.exe --{ランダムな8 文字}

スパイウェアは、以下のフォルダを作成します。

管理者権限を持たずに実行された場合:
- %AppDataLocal%\{文字列1}{文字列2}

スパイウェアは、実行後、自身を削除します。

スパイウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

Global\I{ボリュームシリアルナンバー}
Global\M{ボリュームシリアルナンバー}

情報漏えい

スパイウェアは、以下の情報を収集します。

コンピュータ名
コンピュータ名
プロセスセッションID
OSバージョン
実行中のプロセス
ファイルCRC
プロセッサーアーキテクチャ

対応方法

対応検索エンジン: 9.850

初回 VSAPI パターンバージョン 17.432.05

初回 VSAPI パターンリリース日 2022年3月10日

VSAPI OPR パターンバージョン 17.433.00

VSAPI OPR パターンリリース日 2022年3月11日

手順 1

トレンドマイクロの機械学習型検索は、マルウェアの存在を示す兆候が確認された時点で検出し、マルウェアが実行される前にブロックします。機械学習型検索が有効になっている場合、弊社のウイルス対策製品はこのマルウェアを以下の機械学習型検出名として検出します。

TSPY.Win32.TRX.XXPE50FFF054

手順 2

Windows 7、Windows 8、Windows 8.1、および Windows 10 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

手順 3

このマルウェアもしくはアドウェア等の実行により、手順中に記載されたすべてのファイル、フォルダおよびレジストリキーや値がコンピュータにインストールされるとは限りません。インストールが不完全である場合の他、オペレーティングシステム（OS）の条件によりインストールがされない場合が考えられます。手順中に記載されたファイル／フォルダ／レジストリ情報が確認されない場合、該当の手順の操作は不要ですので、次の手順に進んでください。

手順 4

Windowsをセーフモードで再起動します。

[ 詳細 ]

セーフモードでの起動：

• Windows 2000 の場合：

コンピュータを起動させます。
「Windows **** を起動しています・・・」のメッセージが表示されている間に［F8］を押します。
「Windows 拡張オプションメニュー」が表示されるので、［↓］［↑］キーを使って［セーフモード］を選択し、［Enter］を押します。

• Windows XP の場合：

コンピュータを起動させます。
「Windows **** を起動しています・・・」のメッセージが表示されている間に［F8］を押します。
「Windows 拡張オプションメニュー」が表示されるので、［↓］［↑］キーを使って［セーフモード］を選択し、［Enter］を押します。

• Windows Server 2003 の場合：

コンピュータを起動させます。
「Windows **** を起動しています・・・」のメッセージが表示されている間に［F8］を押します。
「Windows 拡張オプションメニュー」が表示されるので、［↓］［↑］キーを使って［セーフモード］を選択し、［Enter］を押します。

• Windows Vista、Windows 7 および Windows Server 2008 の場合：

コンピュータを起動させます。
「Windows **** を起動しています・・・」のメッセージが表示されている間に［F8］を押します。
「詳細ブートオプション」が表示されるので、［↓］［↑］キーを使って［セーフモード］を選択し、［Enter］を押します。

• Windows 8、8.1 および Server 2012の場合：

画面の右上隅へマウスポインタを移動し、[チャーム]バーを表示します。
マウスで、[設定]－[PC設定の変更]を選択します。
左側のパネルで、[全般]を選択します。
右側のパネルで、[PCの起動をカスタマイズする]が表示されるまで下にスクロールし、[今すぐ再起動]をクリック。コンピュータが再起動するまで待ちます。
[オプションの選択]メニューで、[トラブルシューティング]－[詳細オプション]－[スタートアップ設定]－[再起動]をクリックします。
[スタートアップ設定]メニューで、[4]キーを押し、「4）セーフモードを有効にする」を選択します。

手順 5

不明なレジストリキーを削除します。

[ 詳細 ]

警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。

In HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services
- {String1}{String2}

手順 6

以下のファイルを検索し削除します。

[ 詳細 ]

コンポーネントファイルが隠しファイル属性に設定されている場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。

%System%\{String1}{String2}.exe
%AppDataLocal%\{String1}{String2}\{String1}{String2}.exe

手順 7

コンピュータを通常モードで再起動し、最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、「TrojanSpy.Win32.EMOTET.UWAOIBENC」と検出したファイルの検索を実行してください。検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。

ご利用はいかがでしたか？　アンケートにご協力ください