• Email
• Facebook
• Twitter
• Google+
• Linkedin

TSPY_EMOTET.OIBEAQ

---

• マルウェアタイプ: スパイウェア/情報窃取型
• 破壊活動の有無: なし
• 暗号化: はい
• 感染報告の有無: はい

---

  概要

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、特定のWebサイトにアクセスし、情報を送受信します。 ただし、情報公開日現在、このWebサイトにはアクセスできません。 スパイウェア マルウェアは、自身（コンピュータに侵入して最初に自身のコピーを作成した スパイウェア ）を削除します。

---

  詳細

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

• %System%\{string1}{string2}.exe - if run with admin privileges
• %AppDataLocal%\Microsoft\Windows\{string1}{string2}.exe - if run without admin privileges
  {string1} and {string2} are randomly chosen from the following strings:
  • unity
  • fail
  • conv
  • loader
  • ihun
  • aero
  • chunk
  • rowset
  • lanes
  • need
  • routed
  • scn
  • loada
  • leelaw
  • compute
  • ordered
  • wdi
  • mso
  • shl
  • files
  • deep
  • window
  • xpath
  • iowa
  • orange
  • starta
  • volume
  • pal
  • fltr
  • dynamic
  • iwamreg
  • bundle
  • shlp
  • bears
  • tabbtn
  • cookies
  • cloud
  • tsd
  • horz
  • texas
  • montana
  • status
  • wan
  • attrib
  • param
  • srv
  • dim
  • pages
  • cab
  • searcha
  • hid
  • jpn
  • sounds
  • wfp
  • string
  • hexa
  • ssps
  • taupe
  • bang
  • hei
  • system
  • ftp
  • layout
  • build

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.. %AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)

スパイウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• PE{hash of full file path}
• Global\M{Volume serial number}

自動実行方法

スパイウェアは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\{string1}{string2}
Description = “Transfers files in the background using idle network bandwidth. If the service is disabled, then any applications that depend on BITS, such as Windows Update or MSN Explorer, will be unable to automatically download programs and other information.”

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\{string1}{string2}
ImagePath = "%System%\{string1}{string2}.exe"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\{string1}{string2}
Name = “{string1}{string2}”

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\{string1}{string2}
ErrorControl = “0”

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\{string1}{string2}
ObjectName = “LocalSystem”

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\{string1}{string2}
Start = “0x02”

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\{string1}{string2}
Type = “0x10”

スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{string1}{string2} = "%AppDataLocal%\Microsoft\Windows\{string1}{string2}.exe"

スパイウェアは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\{string1}{string2}

情報漏えい

スパイウェアは、以下の情報を収集します。

• Machine Name
• System Locale
• OS Version
• Running Processes

その他

スパイウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• http://{BLOCKED}.{BLOCKED}.10.64/
• http://{BLOCKED}.{BLOCKED}.{BLOCKED}.178:990/
• http://{BLOCKED}.{BLOCKED}.137.65:990/
• http://{BLOCKED}.{BLOCKED}.211.196:8080/
• http://{BLOCKED}.{BLOCKED}.64.144:8080/
• http://{BLOCKED}.{BLOCKED}.67.178/
• htttp://{BLOCKED}.{BLOCKED}.249.160/

ただし、情報公開日現在、このWebサイトにはアクセスできません。

スパイウェア は、自身（コンピュータに侵入して最初に自身のコピーを作成した スパイウェア ）を削除します。

---

  対応方法

ご利用はいかがでしたか？　アンケートにご協力ください