TSPY_TRICKLOAD.N

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。 スパイウェアは、他のマルウェアに作成され、コンピュータに侵入します。

スパイウェアは、 Windows のタスクスケジューラを使い、「スケジュールされたタスク」を追加します。これにより、作成された自身のコピーが実行されます。

スパイウェアは、特定のWebサイトにアクセスし、情報を送受信します。 スパイウェア マルウェアは、自身（コンピュータに侵入して最初に自身のコピーを作成した スパイウェア ）を削除します。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、以下のマルウェアに作成され、コンピュータに侵入します。

• TROJ_UPATRE.YYSTV

インストール

スパイウェアは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

• %Application Data%\{malware file name}.exe

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

スパイウェアは、以下のファイルを作成します。

• %Application Data%\client_id
• %Application Data%\group_tag

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

スパイウェアは、 Windows のタスクスケジューラを使い、「スケジュールされたタスク」を追加します。これにより、作成された自身のコピーが実行されます。

スパイウェアは、以下のプロセスを追加します。

• svchost.exe

スパイウェアは、以下のフォルダを作成します。

• %Application Data%\Modules\
• %Application Data%\Modules\injectDll32_configs

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

スパイウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• Global\TrickBot

スパイウェアは、以下のプロセスにコードを組み込みます。

• added svchost.exe

自動実行方法

この「スケジュールされたタスク」により、以下の時間ごとにスパイウェアが実行されます。

• minute

ダウンロード活動

スパイウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %Application Data%\Modules\injectDll32
• %Application Data%\Modules\systeminfo32
• %Application Data%\Modules\config.conf (updated config file)
• %Application Data%\Modules\injectDll32_configs\dinj
• %Application Data%\Modules\injectDll32_configs\dpost
• %Application Data%\Modules\injectDll32_configs\sinj

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

情報漏えい

環境設定ファイルは、以下の情報を含んでいます。

• CnC
• Modules
• targeted banks (downloaded config file)

その他

スパイウェアは、以下のWebサイトにアクセスして感染コンピュータのIPアドレスを収集します。

• {BLOCKED}rnalip.com

スパイウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• {BLOCKED}.{BLOCKED}.138.194:443
• {BLOCKED}.{BLOCKED}.44.28:443
• {BLOCKED}.{BLOCKED}.23.98:443
• {BLOCKED}.{BLOCKED}.28.24:443
• {BLOCKED}.{BLOCKED}.176.6:443
• {BLOCKED}.{BLOCKED}.209.51:443
• {BLOCKED}.{BLOCKED}.52.75:443
• {BLOCKED}.{BLOCKED}.211.34:443
• {BLOCKED}.{BLOCKED}.28.0:443
• {BLOCKED}.{BLOCKED}.234.69:443
• {BLOCKED}.{BLOCKED}.251.0:443
• {BLOCKED}.{BLOCKED}.28.103/response.php
• {BLOCKED}.{BLOCKED}.28.77:443
• http://{BLOCKED}.{BLOCKED}.1.53:8082

スパイウェア は、自身（コンピュータに侵入して最初に自身のコピーを作成した スパイウェア ）を削除します。