TrojanSpy.Win32.ICEDID.FAIU

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、ワーム活動の機能を備えていません。

スパイウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。 スパイウェアは、特定のWebサイトにアクセスし、情報を送受信します。 ただし、情報公開日現在、このWebサイトにはアクセスできません。

ただし、情報公開日現在、このWebサイトにはアクセスできません。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、以下のフォルダを追加します。

• (%Application Data% or %AppDataLocal%)\{Random string}\{Random string}
• C:\ProgramData\{Username}
• %AppDataLocal%\{Username}

(註：%AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)

スパイウェアは、以下のファイルを作成します。

• (%Application Data% or %AppDataLocal%)\{Random string}\{Random string}\{Random characters}.dll (Slightly modified copy of itself)
• %User Temp%\{Random character}.tmp (Self-signed certificate)

(註：%AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。. %User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

スパイウェアは、以下のプロセスを追加します。

• %System%\msiexec.exe /i {Random characters}.msi

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

スパイウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• {{Random 8 characters}-{Random 4 characters}-{Random 4 characters}-{Random 4 characters}-{Random 8 characters}}

感染活動

スパイウェアは、ワーム活動の機能を備えていません。

バックドア活動

スパイウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Update config
• Reboot system
• Execute arbitrary commands
• Steal cookies
• Steal credentials
• Get logs
• Get file information
• Get system information

スパイウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• http://{BLOCKED}ite3.club/audio/?z={Encrypted information}
• http://{BLOCKED}iprooslk.cyou/audio/?z={Encrypted information}

ただし、情報公開日現在、このWebサイトにはアクセスできません。

ルートキット機能

スパイウェアは、ルートキット機能を備えていません。

ダウンロード活動

スパイウェアは、以下のWebサイトにアクセスして自身のコンポーネントファイルをダウンロードします。

• http://{BLOCKED}ite3.club/image/?id={Random characters}
• http://{BLOCKED}iprooslk.cyou/image/?id={Random characters}

スパイウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• C:\ProgramData\{Username}\{Random characters}.png
• %AppDataLocal%\{Username}\{Random characters}.png

(註：%AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)

ただし、情報公開日現在、このWebサイトにはアクセスできません。

情報漏えい

トロイの木馬化されたアプリケーションが実行されると、[Malware]は、以下の情報を収集します。

• MAC address
• Computer name
• Username
• OS information
• Status if sample is ran on a virtual machine
• Domain in which device is located
• Downloader version
• User SID
• Time executed

その他

スパイウェアは、以下を実行します。

• It hooks itself to Chrome or Firefox to steal information.

マルウェアは、脆弱性を利用した感染活動を行いません。

以下のスケジュールされたタスクを追加します：

• Task name: {Random string}_{{Random 8 characters}-{Random 4 characters}-{Random 4 characters}-{Random 4 characters}-{Random 8 characters}}
  Task to be run: regsvr32.exe /s {Slightly modified copy of itself}
  Task trigger: At logon, every one hour

＜補足＞
インストール

スパイウェアは、以下のフォルダを追加します。

• (%Application Data% または %AppDataLocal%)\{ランダムな文字列}\{ランダムな文字列}
• C:\ProgramData\{ユーザ名}
• %AppDataLocal%\{ユーザ名}

スパイウェアは、以下のファイルを作成します。

• (%Application Data% または %AppDataLocal%)\{ランダムな文字列}\{ランダムな文字列}\{ランダムな文字}.dll (わずかに改変された自身のコピー)
• %User Temp%\{ランダムな文字}.tmp (自己署名証明書)

スパイウェアは、以下のプロセスを追加します。

• %System%\msiexec.exe /i {ランダムな文字}.msi

スパイウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• {{ランダムな8文字}-{ランダムな4文字}-{ランダムな4文字}-{ランダムな4文字}-{ランダムな8文字}}

バックドア活動

スパイウェアは、不正リモートユーザからの以下のコマンドを実行します。

• 環境設定ファイルのアップデート
• システムの再起動
• 任意のコマンドの実行
• cookieの窃取
• 認証情報の窃取
• ログの取得
• ファイル情報の取得
• システム情報の取得

スパイウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• http://{BLOCKED}ite3.club/audio/?z={暗号化された情報}
• http://{BLOCKED}iprooslk.cyou/audio/?z={暗号化された情報}

ダウンロード活動

スパイウェアは、以下のWebサイトにアクセスして自身のコンポーネントファイルをダウンロードします。

• http://{BLOCKED}ite3.club/image/?id={ランダムな文字}
• http://{BLOCKED}iprooslk.cyou/image/?id={ランダムな文字}

スパイウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• C:\ProgramData\{ユーザ名}\{ランダムな文字}.png
• %AppDataLocal%\{ユーザ名}\{ランダムな文字}.png

情報漏えい

トロイの木馬化されたアプリケーションが実行されると、[Malware]は、以下の情報を収集します。

• MACアドレス
• コンピュータ名
• ユーザ名
• オペレーティングシステム（OS）情報
• 検体が仮想マシン上で実行された場合のステータス
• デバイスが配置されているドメイン
• ダウンローダのバージョン
• ユーザSID
• 実行された時間

その他

スパイウェアは、以下を実行します。

• スパイウェアは、ChromeまたはFirefoxに自身のコピーをフックして、情報を窃取します。

以下のスケジュールされたタスクを追加します：

• タスク名: {ランダムな文字列}_{{ランダムな8文字}-{ランダムな4文字}-{ランダムな4文字}-{ランダムな4文字}-{ランダムな8文字}}
  実行するタスク: regsvr32.exe /s {わずかに改変された自身のコピー}
  タスクトリガー: ログオン時、１時間毎