Trojan.X97M.INFOSTEAL.C

このトロイの木馬型マルウェアは、他のマルウェアによってドロップされたファイル、または悪意のあるサイトにアクセスした際にユーザが気付かないうちにダウンロードされたファイルとして、システムに侵入します。

侵入方法

このトロイの木馬型マルウェアは、他のマルウェアによってドロップされたファイルとして、または悪意のあるサイトにアクセスした際にユーザーが知らずにダウンロードしたファイルとして、システムに侵入します。

インストール

このトロイの木馬型マルウェアは、以下のフォルダを追加します。

• %System Root%\1 temp

(注: %System Root% は、すべての Windows オペレーティングシステムのバージョンにおいて通常 C:\ である Windows のルートフォルダです。)

以下のファイルをドロップします。

• %User Temp%\{dd-mm-yy h-mm-ss}.htm
• %User Profile%\Documents\{number} PDF.pdf
• %System Root%\1 temp\{number} PDF.pdf

(注: %User Temp% は、現在のユーザーの Temp フォルダで、Windows 2000(32ビット)、XP、および Server 2003(32ビット) では通常 C:\Documents and Settings\{user name}\Local Settings\Temp、Windows Vista、7、8、8.1、2008(64ビット)、2012(64ビット)、および 10(64ビット) では C:\Users\{user name}\AppData\Local\Temp です。%User Profile% は、現在のユーザーのプロファイルフォルダで、Windows 2000(32ビット)、XP、および Server 2003(32ビット) では通常 C:\Documents and Settings\{user name}、Windows Vista、7、8、8.1、2008(64ビット)、2012(64ビット)、および 10(64ビット) では C:\Users\{user name} です。%System Root% は、すべての Windows オペレーティングシステムのバージョンにおいて通常 C:\ である Windows のルートフォルダです。)

以下のプロセスを追加します。

• explorer "https://www.{BLOCKED}e.com/watch?v=X3jsnzyiInU"
• explorer "https://{BLOCKED}l.vn/huong-dan-khac-phuc-mot-so-loi-khi-gui-mail-hang-loat-bang-tien-ich-myexcel/"

その他のシステム変更

このトロイの木馬型マルウェアは、以下のファイルを削除します。

• %User Temp%\{dd-mm-yy h-mm-ss}.htm

(注: %User Temp% は、現在のユーザーの Temp フォルダで、Windows 2000(32ビット)、XP、および Server 2003(32ビット) では通常 C:\Documents and Settings\{user name}\Local Settings\Temp、Windows Vista、7、8、8.1、2008(64ビット)、2012(64ビット)、および 10(64ビット) では C:\Users\{user name}\AppData\Local\Temp です。)

以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\VB and VBA Program Settings\
liliiliiliiiliilli

HKEY_CURRENT_USER\Software\VB and VBA Program Settings\
liliiliiliiiliill

以下のレジストリエントリを追加します。

HKEY_CURRENT_USER\Software\VB and VBA Program Settings\
liliiliiliiiliilli\Gmail
Usename = {メールアカウントのユーザー名(平文)}

HKEY_CURRENT_USER\Software\VB and VBA Program Settings\
liliiliiliiiliilli\Gmail
Pass = {メールアカウントのパスワード(平文)}

HKEY_CURRENT_USER\Software\VB and VBA Program Settings\
liliiliiliiiliilli\Gmail
SMTP = {メールサーバーのアドレス}

HKEY_CURRENT_USER\Software\VB and VBA Program Settings\
liliiliiliiiliilli\Gmail
Port = {メールサーバーのポート}

HKEY_CURRENT_USER\Software\VB and VBA Program Settings\
liliiliiliiiliilli\Gmail
Send = {メール転送方法}

HKEY_CURRENT_USER\Software\VB and VBA Program Settings\
liliiliiliiiliilli\Gmail
ChuKyOutlook = {メールの署名(HTML形式)}

HKEY_CURRENT_USER\Software\VB and VBA Program Settings\
liliiliiliiiliilli\Gmail
ChuKyOutlookCoKo = {メールの署名の有効/無効}

HKEY_CURRENT_USER\Software\VB and VBA Program Settings\
liliiliiliiiliilli\Gmail
ChuKyGmail = {メールの署名(HTML形式)}

HKEY_CURRENT_USER\Software\VB and VBA Program Settings\
liliiliiliiiliilli\Gmail
ChuKyGmailCoKo = {メールの署名の有効/無効}

HKEY_CURRENT_USER\Software\VB and VBA Program Settings\
liliiliiliiiliilli\Gmail
ChonBanMienPhi = OK

HKEY_CURRENT_USER\Software\VB and VBA Program Settings\
liliiliiliiiliilli\MailVung
SVungNS = {送信元ワークシート名}

HKEY_CURRENT_USER\Software\VB and VBA Program Settings\
liliiliiliiiliilli\MailVung
CVungNS = {行数}

HKEY_CURRENT_USER\Software\VB and VBA Program Settings\
liliiliiliiiliilli\OUTLOOKTEM
MacDinh = Outlook

HKEY_CURRENT_USER\Software\VB and VBA Program Settings\
liliiliiliiiliilli\OUTLOOKTEM
GUITHU = GUITHU

HKEY_CURRENT_USER\Software\VB and VBA Program Settings\
liliiliiliiiliilli\ChayLanDau
Kiemtra = OK

HKEY_CURRENT_USER\Software\VB and VBA Program Settings\
liliiliiliiiliilli\Startup
TopKey = {キーマテリアル}

HKEY_CURRENT_USER\Software\VB and VBA Program Settings\
liliiliiliiiliilli\Startup
TopKey2 = {キーマテリアル}1234

HKEY_CURRENT_USER\Software\VB and VBA Program Settings\
liliiliiliiiliilli\Startup
TopKey3 = 12345678123412

HKEY_CURRENT_USER\Software\VB and VBA Program Settings\
liliiliiliiiliilli\Startup
TopKey16 = {キーマテリアル}

HKEY_CURRENT_USER\Software\VB and VBA Program Settings\
liliiliiliiiliilli\Startup
CheckKey = {状態値}

HKEY_CURRENT_USER\Software\VB and VBA Program Settings\
liliiliiliiiliilli\Startup
ChayKiemtraK = Roi

HKEY_CURRENT_USER\Software\VB and VBA Program Settings\
liliiliiliiiliilli\Startup
VAT1Top = 13

HKEY_CURRENT_USER\Software\VB and VBA Program Settings\
liliiliiliiiliilli\liliiliiliiili
ChonOutlook = {コマンド文字列}

HKEY_CURRENT_USER\Software\VB and VBA Program Settings\
liliiliiliiiliilli\liliiliiliiili
ChonGmail = {転送方法}

HKEY_CURRENT_USER\Software\VB and VBA Program Settings\
liliiliiliiiliilli\liliiliiliiili
TopKey16 = {文字置換テーブルエントリ}

HKEY_CURRENT_USER\Software\VB and VBA Program Settings\
liliiliiliiiliill\Startup
Top = liliiliiliiiliil

HKEY_CURRENT_USER\Software\VB and VBA Program Settings\
liliiliiliiiliill\Startup
SeriOcung{number} = {物理ディスクまたはマザーボードのシリアル番号}

HKEY_CURRENT_USER\Software\VB and VBA Program Settings\
liliiliiliiiliill\Startup
MaMay{number} = {派生したマシン識別子}

HKEY_CURRENT_USER\Software\VB and VBA Program Settings\
liliiliiliiiliill\Startup
iakey123_{number} = {派生したマシンキー}

HKEY_CURRENT_USER\Software\VB and VBA Program Settings\
liliiliiliiiliill\Startup
ibkey123_{number} = {派生したマシンキー}

HKEY_CURRENT_USER\Software\VB and VBA Program Settings\
liliiliiliiiliill\Startup
ickey123_{number} = {派生したマシンキー}

HKEY_CURRENT_USER\Software\VB and VBA Program Settings\
liliiliiliiiliill\Startup
DuongDanMyVTV = {ワークブックフォルダ}\MyVTVforExcel

情報収集

このトロイの木馬型マルウェアは、以下の情報を収集します。

• メールアカウント情報:
  • HKEY_CURRENT_USER\Software\VB and VBA Program Settings\liliiliiliiiliilli\Gmail\Usename に格納されたメールアカウントのユーザー名
  • HKEY_CURRENT_USER\Software\VB and VBA Program Settings\liliiliiliiiliilli\Gmail\Pass に平文で格納されたメールアカウントのパスワード
  • HKEY_CURRENT_USER\Software\VB and VBA Program Settings\liliiliiliiiliilli\Gmail に格納されたメールサーバーのアドレス、ポート、および転送方法
  • HKEY_CURRENT_USER\Software\VB and VBA Program Settings\liliiliiliiiliilli\Gmail に格納されたメールの署名
• ハードウェア情報:
  • 物理ディスクのシリアル番号
  • マザーボードのシリアル番号
• ワークブックデータ:
  • 受信者のメールアドレス
  • カーボンコピーおよびブラインドカーボンコピーのメールアドレス
  • メールの件名
  • メールの本文
  • 添付ファイル名
  • 範囲 A1:IV65000 内のアクティブワークシートの全内容
• ローカルファイル:
  • ワークシートのセルから参照される、.msg ファイル拡張子を持つメールメッセージテンプレートファイル
  • %User Profile%\Documents に配置された添付ファイル
  • C:\1 temp に配置された添付ファイル

(注: %User Profile% は、現在のユーザーのプロファイルフォルダで、Windows 2000(32ビット)、XP、および Server 2003(32ビット) では通常 C:\Documents and Settings\{user name}、Windows Vista、7、8、8.1、2008(64ビット)、2012(64ビット)、および 10(64ビット) では C:\Users\{user name} です。)

収集された情報

このトロイの木馬型マルウェアは、収集したワークブックデータを、感染したシステムに設定されたメールクライアントを介してメールメッセージとして送信します。
また、収集したワークブックデータを、レジストリキー HKEY_CURRENT_USER\Software\VB and VBA Program Settings\liliiliiliiiliilli\Gmail から取得したアドレス、ポート、転送方法を持つメールサーバーを介して、格納されたメールアカウントのユーザー名とパスワードを使用した認証を行い、メールメッセージとして送信します。

その他の詳細

このトロイの木馬型マルウェアは、以下の悪意のある可能性のある URL に接続します。

• https://www.{BLOCKED}e.com/playlist?list=PLMaq39BTAz-IA8qlWjuV82Em9cjXSQ9A0
• https://www.{BLOCKED}e.com/playlist?list=PLMaq39BTAz-ISykhM4S-4xJm-Y8sfigx6
• https://www.{BLOCKED}e.com/playlist?list=PLMaq39BTAz-JN_-C82ug9JA4bNDZ7UT5R
• https://www.{BLOCKED}e.com/playlist?list=PLMaq39BTAz-KwwAqvQL33f_Y56Mplr5_7
• https://{BLOCKED}l.vn/thong-tin-lien-he/
• https://sites.{BLOCKED}e.com/view/nguyengiangvtv/HuongDan/HuongdankhaibaoTKguithu
• https://myaccount.{BLOCKED}e.com/security
• https://www.{BLOCKED}e.com/search?q=bat+pop+va+imap+cho+tai+khoan+gmail
• https://{BLOCKED}html.net/

マルウェアは、以下を実行します。

• ワークブックを開いただけではルーチンを実行しないため、ユーザーがマクロを有効にし、ワークブックに埋め込まれたフォームと対話した後にのみ、そのルーチンを実行します。
• メッセージごとにユーザーに確認を求めることなくループ内でメールメッセージを送信し、各メッセージを重要度高として設定します。
• エクスポートされた文書ファイルおよびワークシートのセルから読み込まれたファイル名から、1つのメールメッセージにつき最大4つのファイルを添付します。
• ワークシートを文書ファイルとして %User Profile%\Documents にエクスポートします。このフォルダが解決できない場合は、C:\1 temp にエクスポートします。
• ワークシートの範囲を %User Temp% 内の HTML ファイルにレンダリングし、そのファイルを読み込んだ後、削除します。
• Tempvtv1 という名前のワークシートを作成し、非常に高い非表示状態に設定します。これにより、通常のスプレッドシートインターフェイスでは表示されなくなります。
• レジストリエントリ HKEY_CURRENT_USER\Software\VB and VBA Program Settings\liliiliiliiiliilli\liliiliiliiili\ChonOutlook から取得したコマンドを、その内容を検証せずに実行します。これにより、そのエントリに書き込まれた任意のコマンドが、影響を受けたユーザーのコンテキストで実行される可能性があります。
• 自身のルーチンの実行中、以下を無効にします:
  • アプリケーションアラート
  • イベント処理
  • 画面の更新
  • リンクの更新の確認

(注: %User Profile% は、現在のユーザーのプロファイルフォルダで、Windows 2000(32ビット)、XP、および Server 2003(32ビット) では通常 C:\Documents and Settings\{user name}、Windows Vista、7、8、8.1、2008(64ビット)、2012(64ビット)、および 10(64ビット) では C:\Users\{user name} です。%User Temp% は、現在のユーザーの Temp フォルダで、Windows 2000(32ビット)、XP、および Server 2003(32ビット) では通常 C:\Documents and Settings\{user name}\Local Settings\Temp、Windows Vista、7、8、8.1、2008(64ビット)、2012(64ビット)、および 10(64ビット) では C:\Users\{user name}\AppData\Local\Temp です。)