TrojanSpy.Win32.FORMBOOK.CI

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

スパイウェアは、ユーザのキー入力操作情報を記録し、情報を収集します。

スパイウェアは、特定のWebサイトにアクセスし、情報を送受信します。 スパイウェアは、仮想環境内で実行されると、自身の活動を終了します。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、以下のフォルダを追加します。

• %User Temp%\{Random characters}.tmp

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

スパイウェアは、以下のファイルを作成します。

• %User Temp%\imuk.dll → Decrypts qulqs.yl
• %User Temp%\qulqs.yl
• %User Temp%\{Random characters}.tmp\System.dll → Legitimate dll

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

スパイウェアは、以下のプロセスを追加します。

• {Malware Full Path}

スパイウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• {16 random characters derived from the username}

スパイウェアは、以下のプロセスにコードを組み込みます。

• {Malware Full Path}
• explorer.exe
• Any of the following legitimate Windows applications: (Spawned by the hijacked explorer.exe)
  • audiodg.exe
  • autochk.exe
  • autoconv.exe
  • autofmt.exe
  • chkdsk.exe
  • cmd.exe
  • cmmon32.exe
  • cmstp.exe
  • colorcpl.exe
  • control.exe
  • cscript.exe
  • dwm.exe
  • help.exe
  • ipconfig.exe
  • lsass.exe
  • lsm.exe
  • msdt.exe
  • msg.exe
  • msiexec.exe
  • mstsc.exe
  • napstat.exe
  • nbtstat.exe
  • netsh.exe
  • netstat.exe
  • raserver.exe
  • rdpclip.exe
  • rundll32.exe
  • services.exe
  • spoolsv.exe
  • svchost.exe
  • systray.exe
  • taskhost.exe
  • wininit.exe
  • wlanext.exe
  • wscript.exe
  • wuapp.exe
  • wuauclt.exe
  • wwahost.exe
• {Targeted Applications}

スパイウェアは、感染コンピュータ上のメモリに以下のプロセスを確認すると、自身を終了します。

• vmwareuser.exe
• vmwareservice.exe
• vboxservice.exe
• vboxtray.exe
• sandboxiedcomlaunch.exe
• sandboxierpcss.exe
• procmon.exe
• filemon.exe
• wireshark.exe
• netmon.exe
• prl_tools_service.exe
• prl_tools.exe
• prl_cc.exe
• SharedIntApp.exe
• vmsrvc.exe
• vmusrvc.exe
• python.exe
• perl.exe
• regmon.exe

バックドア活動

スパイウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Download and Execute a File
• Execute Arbitrary Commands
• Update Self
• Uninstall Self
• Reboot System
• Shutdown System
• Clear Cookies
• Take Screenshot

情報漏えい

スパイウェアは、以下の情報を収集します。

• Username
• CRC32 of SID
• Operating System
• Captured Screenshots
• Clipboard Data
• Information from the following applications:
  • Browsers:
    • 360 Browser
    • Avant
    • Baidu
    • BlackHawk
    • Browzar
    • Canary
    • Chrome
    • Chromium
    • Citrio
    • Comodo Dragon
    • Comodo IceDragon
    • CoolNovo
    • Coowon
    • CyberFox
    • Deepnet
    • Dooble
    • Epic
    • Firefox
    • Internet Explorer
    • Iridium
    • KMeleon
    • Lunascape
    • Maxthon
    • Microsoft Edge
    • Midori
    • Mustang
    • Opera
    • Orbitum
    • PaleMoon
    • QTWeb
    • QupZilla
    • Rambler
    • Safari
    • SafeZone
    • ScriptFTP
    • SeaMonkey
    • Sleipnir
    • Superbird
    • Titan
    • Tor Browser
    • Torch
    • UC Browser
    • Vivaldi
    • Waterfox
    • Yandex
  • Mail Clients:
    • Barca
    • Foxmail
    • GMail
    • Incredimail
    • Microsoft Outlook
    • Mozilla Thunderbird
    • Opera Mail
  • FTP Clients:
    • 3DFTP
    • AbsoluteTelnet
    • ALFTP
    • BitKinex
    • CoreFTP
    • Far File Manager
    • FileZilla
    • FlashFXP
    • Fling FTP
    • LeechFTP
    • NCFTP
    • SmartFTP
    • Total Commander
    • WebDrive
    • WinSCP
  • Instant Messaging (IM) Applications:
    • ICQ Messenger
    • Pidgin
    • Skype
    • Trillian
    • WhatsApp
    • Yahoo Messenger

スパイウェアは、ユーザのキー入力操作情報を記録し、情報を収集します。

その他

このスパイウェアのコードから、スパイウェアは、以下の機能を備えています。

• It can create an autorun registry located at:
  • HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run or
    HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run
    with a value and data of:
    {Random Characters} = %Program Files%\{Random}\{Random}.exe → Copy of Malware

(註：%Program Files%フォルダは、デフォルトのプログラムファイルフォルダです。C:\Program Files in Windows 2000(32-bit)、Server 2003(32-bit)、XP、Vista(64-bit)、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files"です。また、Windows XP(64-bit)、Vista(64-bit)、7(64-bit)、8(64-bit)、8.1(64-bit)、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files（x86）" です。)

スパイウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• www.{BLOCKED}0.net/d8ak/
• www.{BLOCKED}m.info/d8ak/
• www.{BLOCKED}nahouseandhome.com/d8ak/
• www.{BLOCKED}ysidebuilder.com/d8ak/
• www.{BLOCKED}dishes.com/d8ak/
• www.{BLOCKED}pressions.com/d8ak/
• www.{BLOCKED}o.store/d8ak/
• www.{BLOCKED}ad-effort.com/d8ak/
• www.{BLOCKED}suvrussia.com/d8ak/
• www.{BLOCKED}adesolution.com/d8ak/
• www.{BLOCKED}c.com/d8ak/
• www.{BLOCKED}pp.com/d8ak/
• www.{BLOCKED}mes.com/d8ak/
• www.{BLOCKED}mbless.info/d8ak/
• www.{BLOCKED}lechina.com/d8ak/
• www.{BLOCKED}rovidence.com/d8ak/
• www.{BLOCKED}aparktownhome.com/d8ak/
• www.{BLOCKED}tsim.com/d8ak/
• www.{BLOCKED}rclones.com/d8ak/
• www.{BLOCKED}byzy.com/d8ak/
• www.{BLOCKED}dimnation.com/d8ak/
• www.{BLOCKED}ngfu.com/d8ak/
• www.{BLOCKED}gabriel.com/d8ak/
• www.{BLOCKED}.com/d8ak/
• www.{BLOCKED}k0cya3lt22phzggtpit2b.com/d8ak/
• www.{BLOCKED}steamironing.com/d8ak/
• www.{BLOCKED}vitywallach.com/d8ak/

スパイウェアは、仮想環境内で実行されると、自身の活動を終了します。

スパイウェアは、以下を実行します。

• It terminates itself if the following DLL is loaded on its memory:
  • SbieDll.dll
• It terminates itself if the following DLL loaded on its memory has the following strings in their filepath:
  • \cuckoo\
  • \sandcastle\
  • \aswsnx\
  • \sandbox\
  • \smpdir\
  • \samroot\
  • \avctestsuite\
• It terminates itself if its filename has a length greater than or equal to 32 characters.

スパイウェアは、以下のいずれかのユーザ名が感染コンピュータで確認される場合、自身を終了します。

• cuckoo
• sandbox-
• nmsdbox-
• xxxx-ox-
• cwsx-
• wilbert-sc
• xpamast-sc

マルウェアは、自身がデバッグされていることを確認した場合、不正活動を実行しません。