TrojanSpy.Win32.ICEDID.FAIL
W32/Cridex.QLR!tr (FORTINET)
Windows
マルウェアタイプ:
スパイウェア/情報窃取型
破壊活動の有無:
なし
暗号化:
はい
感染報告の有無 :
はい
概要
スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。
スパイウェアは、実行後、自身を削除します。
スパイウェアは、ワーム活動の機能を備えていません。
スパイウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。 スパイウェアは、特定のWebサイトにアクセスし、情報を送受信します。
詳細
侵入方法
スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。
インストール
スパイウェアは、以下のフォルダを追加します。
- %Application Data%\{Random characters}
(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)
スパイウェアは、以下のファイルを作成します。
- %Application Data%\{Random characters}\{Random letters}.dll (Slightly modified version of the sample)
(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)
スパイウェアは、以下のプロセスを追加します。
- %System%\msiexec.exe /i {Random 6 characters}.msi
(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)
スパイウェアは、実行後、自身を削除します。
スパイウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。
- {{Random 8 characters}-{Random 4 characters}-{Random 4 characters}-{Random 4 characters}-{Random 8 characters}}
感染活動
スパイウェアは、ワーム活動の機能を備えていません。
バックドア活動
スパイウェアは、不正リモートユーザからの以下のコマンドを実行します。
- Update config
- Reboot system
- Execute arbitrary commands
- Steal cookies
- Steal login information
- Get logs
- Get file information
スパイウェアは、以下のWebサイトにアクセスし、情報を送受信します。
- {BLOCKED}rodrigo.pw/audio/?z={Encrypted information}
- {BLOCKED}olos.best/audio/?z={Encrypted information}
ルートキット機能
スパイウェアは、ルートキット機能を備えていません。
ダウンロード活動
スパイウェアは、以下のWebサイトにアクセスし、ファイルをダウンロードします。
- {BLOCKED}rodrigo.pw/image/?id={Random characters}
- {BLOCKED}olos.best/image/?id={Random characters}
スパイウェアは、以下のファイル名でダウンロードしたファイルを保存します。
- %AppDataLocal%\{{Random 8 characters}-{Random 4 characters}-{Random 4 characters}-{Random 4 characters}-{Random 8 characters}}\{Random characters}.png (Obfuscated module)
(註：%AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)
情報漏えい
トロイの木馬化されたアプリケーションが実行されると、[Malware]は、以下の情報を収集します。
- Username
- Workgroup
- Computer name
- Indicator if sample is run in admin
- Indicator if sample is run in virtual machine
- OS version
その他
マルウェアは、脆弱性を利用した感染活動を行いません。
以下のスケジュールされたタスクを追加します：
- Task name: {Random characters}_{{Random 8 characters}-{Random 4 characters}-{Random 4 characters}-{Random 4 characters}-{Random 8 characters}}
Task to be run: regsvr32.exe /s {Copy of filename}
＜補足＞
インストール
スパイウェアは、以下のフォルダを追加します。
- %Application Data%\{ランダムな文字}
スパイウェアは、以下のファイルを作成します。
- %Application Data%\{ランダムな文字}\{ランダムな文字}.dll (検体がわずかに改変されたバージョン)
スパイウェアは、以下のプロセスを追加します。
- %System%\msiexec.exe /i {ランダムな6文字}.msi
スパイウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。
- {{ランダムな8文字}-{ランダムな4文字}-{ランダムな4文字}-{ランダムな4文字}-{ランダムな8文字}}
バックドア活動
スパイウェアは、不正リモートユーザからの以下のコマンドを実行します。
- Configの更新
- コンピュータの再起動
- 任意のコマンドの実行
- cookiesの窃取
- ログイン情報の窃取
- ログの取得
- ファイル情報の取得
スパイウェアは、以下のWebサイトにアクセスし、情報を送受信します。
- {BLOCKED}rodrigo.pw/audio/?z={暗号化された情報}
- {BLOCKED}olos.best/audio/?z={暗号化された情報}
ダウンロード活動
スパイウェアは、以下のWebサイトにアクセスし、ファイルをダウンロードします。
- {BLOCKED}rodrigo.pw/image/?id={ランダムな文字}
- {BLOCKED}olos.best/image/?id={ランダムな文字}
スパイウェアは、以下のファイル名でダウンロードしたファイルを保存します。
- %AppDataLocal%\{{ランダムな8文字}-{ランダムな4文字}-{ランダムな4文字}-{ランダムな4文字}-{ランダムな8文字}}\{ランダムな文字}.png (難読化されたモジュール)
情報漏えい
トロイの木馬化されたアプリケーションが実行されると、[Malware]は、以下の情報を収集します。
- ユーザ名
- Workgroup
- コンピュータ名
- スパイウェアが管理者権限で実行されている場合の痕跡
- スパイウェアが仮想コンピュータ内で実行されている場合の痕跡
- オペレーティングシステム（OS）のバージョン
その他
以下のスケジュールされたタスクを追加します：
- タスク名: {ランダムな文字}_{{ランダムな8文字}-{ランダムな4文字}-{{ランダムな4文字}-{{ランダムな4文字}-{ランダムな8文字}}
実行するタスク: regsvr32.exe /s {ファイル名のコピー}
対応方法
手順 1
Windows 7、Windows 8、Windows 8.1、および Windows 10 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。
手順 2
このマルウェアもしくはアドウェア等の実行により、手順中に記載されたすべてのファイル、フォルダおよびレジストリキーや値がコンピュータにインストールされるとは限りません。インストールが不完全である場合の他、オペレーティングシステム（OS）の条件によりインストールがされない場合が考えられます。手順中に記載されたファイル／フォルダ／レジストリ情報が確認されない場合、該当の手順の操作は不要ですので、次の手順に進んでください。
手順 3
Windowsをセーフモードで再起動します。
手順 4
スケジュールされたタスクを削除する
タスク削除の手順に含まれる{タスク名} - {実行するタスク}には以下が当てはまります。
- Task name: {Random characters}_{{Random 8 characters}-{Random 4 characters}-{Random 4 characters}-{Random 4 characters}-{Random 8 characters}}
Task to be run: regsvr32.exe /s {Copy of filename}
Windows 2000、Windows XP、Windows Server 2003の場合：
- [スタート]→[プログラム]→[アクセサリ]→[システムツール]→[スケジュールされたタスク]をクリックして、スケジュールされたタスクを開きます。
- 上記の{タスク名} を、[名前]の欄に入力します。
- 入力した{タスク名} 持つファイルを右クリックします。
- [プロパティ]をクリックします。 [実行]フィールドで、表示されている{実行するタスク}を確認します。
- 上記の{実行するタスク}と文字列が一致するタスクを削除します。
Windows Vista、Windows 7、Windows Server 2008、Windows 8、Windows 8.1、およびWindows Server 2012の場合：
- Windowsタスクスケジューラを開きます。
• Windows Vista、Windows 7、Windows Server 2008の場合、[スタート]をクリックし、[検索]フィールドに「taskchd.msc」と入力してEnterキーを押します。
• Windows 8、Windows 8.1、Windows Server 2012の場合、画面の左下隅を右クリックし、[実行]をクリックし、「taskchd.msc」と入力してEnterキーを押します。 - 左側のパネルで、[タスクスケジューラライブラリ]をクリックします。
- 中央上部のパネルで、上記の{タスク名}を[名前]の欄に入力します。
- 中央下部のパネルで、[アクション]タブをクリックします。 [詳細]の欄で、{実行するタスク}を確認します。
- 文字列が一致するタスクを削除します。
手順 5
以下のファイルを検索し削除します。
- %Application Data%\{Random characters}\{Random letters}.dll
- %AppDataLocal%\{{Random 8 characters}-{Random 4 characters}-{Random 4 characters}-{Random 4 characters}-{Random 8 characters}}\{Random characters}.png
手順 6
コンピュータを通常モードで再起動し、最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、「TrojanSpy.Win32.ICEDID.FAIL」と検出したファイルの検索を実行してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。
ご利用はいかがでしたか？ アンケートにご協力ください