TSPY_EMOTET.L

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

スパイウェアは、ネットワークのパケットを傍受し、情報を収集します。スパウェアは、ドイツのオンライン銀行のユーザを対象としたスパムメッセージを介して侵入します。

スパイウェアは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。 スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、実行後、自身を削除します。

ただし、情報公開日現在、このWebサイトにはアクセスできません。

スパイウェア マルウェアは、自身（コンピュータに侵入して最初に自身のコピーを作成した スパイウェア ）を削除します。

侵入方法

スパイウェアは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Application data%\Microsoft\{random 3 characters}{random string}.exe

スパイウェアは、以下のファイルを作成します。

• %Application data%\Microsoft\{random number}.bat - This will delete the executed copy and delete itself after

スパイウェアは、実行後、自身を削除します。

スパイウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• {process id}I
• {process id}M

スパイウェアは、リモートスレッドを組み込み、システムのプロセスに常駐します。

• explorer.exe

自動実行方法

スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{random 3 characters}{random string}.exe = "%Application data%\Microsoft\{random 3 characters}{random string}.exe"

他のシステム変更

スパイウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Office\Common\{random 1}

HKEY_CURRENT_USER\Software\Microsoft\
Office\Common\{random 1}\
{random 1}RS

HKEY_CURRENT_USER\Software\Microsoft\
Office\Common\{random 1}\
{random 1}SS

HKEY_CURRENT_USER\Software\Microsoft\
Office\Common\{random 1}\
{random 1}PS

ダウンロード活動

スパイウェアは、以下のWebサイトにアクセスして自身のコンポーネントファイルをダウンロードします。

• {BLOCKED}.{BLOCKED}.146.109:8080
• {BLOCKED}2.{BLOCKED}4.110.228:8080
• {BLOCKED}.9.{BLOCKED}6.20:8080
• {BLOCKED}2.{BLOCKED}3.232.235:8080
• {BLOCKED}2.{BLOCKED}3.237.6:8080
• {BLOCKED}.{BLOCKED}.0.5:8080
• {BLOCKED}.{BLOCKED}.152.124:8080
• {BLOCKED}.{BLOCKED}.69.191:8080
• {BLOCKED}.{BLOCKED}.218.166:8080
• {BLOCKED}4.{BLOCKED}.183.196:8080
• {BLOCKED}.{BLOCKED}1.25.23:8080

ただし、情報公開日現在、このWebサイトにはアクセスできません。

その他

スパイウェア は、自身（コンピュータに侵入して最初に自身のコピーを作成した スパイウェア ）を削除します。

スパイウェアが作成する以下のファイルは、実行されたコピーを削除した後、自身を削除します。

• %Application data%\Microsoft\{random number}.bat

{Random string}には、以下のいずれかが当てはまります。

• windows
• video
• update
• system
• sock
• share
• setup
• serial
• mgr32
• error
• edit32
• crypt
• config
• common
• cap32
• boot
• bios
• audio
• api32

ダウンロードされたPEファイルは、DLLです。このDLLはすべてのプロセスに組み込まれ、外向きのネットワークトラフィックを傍受したり、記録したりします。

スパイウェアは、以下のドイツの銀行を対象とし、Webサイトにスクリプトを組み込む可能性があります。

• banking.gecapital.de/
• comdirect.de
• cortalconsors.de
• finanzportal.fiducia.de
• onlinebanking.psd-bank.de/
• postbank.de
• professionalpartners.cortalconsors.de
• ptlweb/WebPortal
• ssl2.haspa.de/onlinefiliale/banking/services
• ssl2.haspa.de/onlinefiliale/banking/authenticate/login