TrojanSpy.MSIL.TRICKBOT.YXAK-A

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、実行後、自身を削除します。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、以下のファイルを作成します。

• %Public%\stsk.exe -> Copy of legitimate schtasks.exe, deleted after creating the scheduled task

(註：%Public%フォルダは、すべてのユーザ共通のファイルまたはフォルダのリポジトリとして機能するフォルダです。Windows Vista、7、8の場合、通常 "C:\Users\Public" です。)

スパイウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Public%\winlogon.exe -> Only if the executable path is not equal to %Public%\winlogon.exe

(註：%Public%フォルダは、すべてのユーザ共通のファイルまたはフォルダのリポジトリとして機能するフォルダです。Windows Vista、7、8の場合、通常 "C:\Users\Public" です。)

スパイウェアは、以下のプロセスを追加します。

• %System%\cmd.exe /C choice /C Y /N /D Y /T 10 & "%Public%\winlogon.exe" -> Only if the executable path is not equal to %Public%\winlogon.exe
• %System%\cmd.exe /C choice /C Y /N /D Y /T 5 & Del "{Malware Path}\{Malware Filename}.exe" & Del %Public%\tmp.bat & Del %Public%\tmpdir\tmpd.bat & Del %Public%\tmpdir\tmps.bat & rd %Public%\tmpdir -> Only if the executable path is not equal to %Public%\winlogon.exe
• %Public%\stsk.exe /create /tn "Task5H3DKU8" /tr %Public%\winlogon.exe /sc onlogon
• %System%\cmd.exe /C choice /C Y /N /D Y /T 10 & Del "%Public%\winlogon.exe" -> Only if the computer name is WALKER-PC

(註：%Public%フォルダは、すべてのユーザ共通のファイルまたはフォルダのリポジトリとして機能するフォルダです。Windows Vista、7、8の場合、通常 "C:\Users\Public" です。)

スパイウェアは、実行後、自身を削除します。

他のシステム変更

スパイウェアは、以下のファイルを削除します。

• %Public%\studio.exe -> if found existing

(註：%Public%フォルダは、すべてのユーザ共通のファイルまたはフォルダのリポジトリとして機能するフォルダです。Windows Vista、7、8の場合、通常 "C:\Users\Public" です。)

情報漏えい

スパイウェアは、以下の情報を収集します。

• Computer Name
• IP Address
• MAC Address

その他

スパイウェアは、以下の不正なWebサイトにアクセスします。

• https://{BLOCKED}alysis.live/WebPanel/db_proc.php/?func=add_comp&name={Computer name}-{Mac Address}-QQQ
• https://{BLOCKED}alysis.live/WebPanel/db_proc.php/?func=still_alive&name={Computer name}-{Mac Address}-QQQ

スパイウェアは、以下を実行します。

• If it is not running on the following virtual environments:
  • KVM
  • VirtualBox
  • vmware
  • It would check if 'KMS Server Service' is running, if not it would access the following url to download a file:
  • http://{BLOCKED}.{BLOCKED}.56.223/tLv6kz -> saves the file it downloads as %Public%\studio.exe

以下のスケジュールされたタスクを追加します：

• Task Name: Task5H3DKU8
  • Trigger: At user log on
  • Action: Start a program: %Public%\winlogon.exe

(註：%Public%フォルダは、すべてのユーザ共通のファイルまたはフォルダのリポジトリとして機能するフォルダです。Windows Vista、7、8の場合、通常 "C:\Users\Public" です。)