TSPY_INFOSTEAL.TIDAOBV
Trojan.MSIL.Crypt (Ikarus)
Windows
- マルウェアタイプ: スパイウェア/情報窃取型
- 破壊活動の有無: なし
- 暗号化: はい
- 感染報告の有無: はい
概要
スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。
スパイウェアは、実行後、自身を削除します。
詳細
侵入方法
スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。
インストール
スパイウェアは、以下のフォルダを追加します。
- %User Temp%\1Mo
(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)
スパイウェアは、以下のファイルを作成します。
- %User Temp%\1Mo\api-ms-win-core-console-l1-1-0.dll
- %User Temp%\1Mo\api-ms-win-core-datetime-l1-1-0.dll
- %User Temp%\1Mo\api-ms-win-core-debug-l1-1-0.dll
- %User Temp%\1Mo\api-ms-win-core-errorhandling-l1-1-0.dll
- %User Temp%\1Mo\api-ms-win-core-file-l1-1-0.dll
- %User Temp%\1Mo\api-ms-win-core-file-l1-2-0.dll
- %User Temp%\1Mo\api-ms-win-core-file-l2-1-0.dll
- %User Temp%\1Mo\api-ms-win-core-handle-l1-1-0.dll
- %User Temp%\1Mo\api-ms-win-core-heap-l1-1-0.dll
- %User Temp%\1Mo\api-ms-win-core-interlocked-l1-1-0.dll
- %User Temp%\1Mo\api-ms-win-core-libraryloader-l1-1-0.dll
- %User Temp%\1Mo\api-ms-win-core-localization-l1-2-0.dll
- %User Temp%\1Mo\api-ms-win-core-memory-l1-1-0.dll
- %User Temp%\1Mo\api-ms-win-core-namedpipe-l1-1-0.dll
- %User Temp%\1Mo\api-ms-win-core-processenvironment-l1-1-0.dll
- %User Temp%\1Mo\api-ms-win-core-processthreads-l1-1-0.dll
- %User Temp%\1Mo\api-ms-win-core-processthreads-l1-1-1.dll
- %User Temp%\1Mo\api-ms-win-core-profile-l1-1-0.dll
- %User Temp%\1Mo\api-ms-win-core-rtlsupport-l1-1-0.dll
- %User Temp%\1Mo\api-ms-win-core-string-l1-1-0.dll
- %User Temp%\1Mo\api-ms-win-core-synch-l1-1-0.dll
- %User Temp%\1Mo\api-ms-win-core-synch-l1-2-0.dll
- %User Temp%\1Mo\api-ms-win-core-sysinfo-l1-1-0.dll
- %User Temp%\1Mo\api-ms-win-core-timezone-l1-1-0.dll
- %User Temp%\1Mo\api-ms-win-core-util-l1-1-0.dll
- %User Temp%\1Mo\api-ms-win-crt-conio-l1-1-0.dll
- %User Temp%\1Mo\api-ms-win-crt-convert-l1-1-0.dll
- %User Temp%\1Mo\api-ms-win-crt-environment-l1-1-0.dll
- %User Temp%\1Mo\api-ms-win-crt-filesystem-l1-1-0.dll
- %User Temp%\1Mo\api-ms-win-crt-heap-l1-1-0.dll
- %User Temp%\1Mo\api-ms-win-crt-locale-l1-1-0.dll
- %User Temp%\1Mo\api-ms-win-crt-math-l1-1-0.dll
- %User Temp%\1Mo\api-ms-win-crt-multibyte-l1-1-0.dll
- %User Temp%\1Mo\api-ms-win-crt-private-l1-1-0.dll
- %User Temp%\1Mo\api-ms-win-crt-process-l1-1-0.dll
- %User Temp%\1Mo\api-ms-win-crt-runtime-l1-1-0.dll
- %User Temp%\1Mo\api-ms-win-crt-stdio-l1-1-0.dll
- %User Temp%\1Mo\api-ms-win-crt-string-l1-1-0.dll
- %User Temp%\1Mo\api-ms-win-crt-time-l1-1-0.dll
- %User Temp%\1Mo\api-ms-win-crt-utility-l1-1-0.dll
- %User Temp%\1Mo\freebl3.dll
- %User Temp%\1Mo\mozglue.dll
- %User Temp%\1Mo\msvcp140.dll
- %User Temp%\1Mo\nss3.dll
- %User Temp%\1Mo\nssdbm3.dll
- %User Temp%\1Mo\softokn3.dll
- %User Temp%\1Mo\ucrtbase.dll
- %User Temp%\1Mo\vcruntime140.dll
- %Application Data%\tasklogon.exe
- %User Temp%\1.exe
(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.. %Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)
スパイウェアは、以下のファイルを作成し実行します。
- %User Temp%\{malware filename}.exe
(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)
情報漏えい
スパイウェアは、以下の情報を収集します。
- Memory Size
- User name of active user
- Admin status of active user
- Hardware ID of affected machine
- Windows Version
スパイウェアは、上述のFTPクライアントおよびファイルマネージャのいずれかから、以下のアカウント情報を収集します。
- FileZilla
スパイウェアは、保存されている以下のEメール認証情報を収集します。
- Microsoft Outlook
スパイウェアは、以下のブラウザから、ユーザ名、パスワードやホスト名といった保存された情報を収集します。
- 360Browser
- 7Star
- Amigo
- Brave
- Bromium
- CentBrowser
- Chedot
- Chromium
- CocCoc
- Comodo
- Cyberfox
- Elements Browser
- Epic Privacy Browser
- Go!
- Google Chrome
- Kometa
- Mozilla Firefox
- Mustang
- Nichrome
- Opera
- Orbitum
- Pale Moon
- QIP Surf
- RockMelt
- Secure Browser
- Sputnik
- Subha
- Superbird
- TorBro
- Torch
- Uran
- Vivaldi
- Waterfox
- Yandex
- Internet Explorer / Microsoft Edge
情報収集
スパイウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。
- http://{BLOCKED].{BLOCKED}.17.211/activation.php?key={encrypted stolen info}
- http://{BLOCKED}n.ml/index.php
その他
スパイウェアは、実行後、自身を削除します。
＜補足＞
情報漏えい
スパイウェアは、以下の情報を収集します。
- メモリサイズ
- アクティブなユーザのユーザ名
- アクティブなユーザの管理ステータス
- 感染コンピュータのハードウェアID
- Windowsのバージョン
情報収集
スパイウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。
- http://{BLOCKED}n.ml/index.php
- http://{BLOCKED].{BLOCKED}.17.211/activation.php?key={窃取した情報を暗号化したもの}
その他
スパイウェアは以下を実行します。
- "DirectXComponentLibrary" という名前のスケジュールされたタスクを作成し、％Application Data％\ tasklogon.exeを1時間ごとに実行します。
- 以下のURLに接続して、自身が作成したファイルの更新版をダウンロードします。
- http://{BLOCKED}.{BLOCKED}.17.211/files/1.exe
- 以下のインスタントメッセンジャーのクライアントから情報を収集します。
- Pidgin
- Psi+
- また、上記のブラウザからクッキーを収集します。
対応方法
手順 1
Windows XP、Windows Vista および Windows 7 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。
手順 2
このマルウェアもしくはアドウェア等の実行により、手順中に記載されたすべてのファイル、フォルダおよびレジストリキーや値がコンピュータにインストールされるとは限りません。インストールが不完全である場合の他、オペレーティングシステム（OS）の条件によりインストールがされない場合が考えられます。手順中に記載されたファイル／フォルダ／レジストリ情報が確認されない場合、該当の手順の操作は不要ですので、次の手順に進んでください。
手順 3
Windowsをセーフモードで再起動します。
手順 4
以下のフォルダを検索し削除します。
- %User Temp%\1Mo
手順 5
以下のファイルを検索し削除します。
- %Application Data%\tasklogon.exe
- %User Temp%\1.exe
手順 6
コンピュータを通常モードで再起動し、最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、「TSPY_INFOSTEAL.TIDAOBV」と検出したファイルの検索を実行してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。
手順 8
最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「TSPY_INFOSTEAL.TIDAOBV」と検出したファイルはすべて削除してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。
ご利用はいかがでしたか？ アンケートにご協力ください