• Email
• Facebook
• Twitter
• Google+
• Linkedin

TrojanSpy.Win64.ICEDID.THCBBCDO

---

• マルウェアタイプ: スパイウェア/情報窃取型
• 破壊活動の有無: なし
• 暗号化: はい
• 感染報告の有無: はい

---

  概要

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

ただし、情報公開日現在、このWebサイトにはアクセスできません。

---

  詳細

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、以下のファイルを作成します。

• %Application Data%\{{Random 8 characters}-{Random 4 characters}-{Random 4 characters}-{Random 4 characters}-{Random 8 characters}}\{{Random 8 characters}-{Random 4 characters}-{Random 4 characters}-{Random 4 characters}-{Random 8 characters}}\{Random letters}.dll - Slightly modified version of the sample

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

スパイウェアは、以下のフォルダを作成します。

• %Application Data%\{{Random 8 characters}-{Random 4 characters}-{Random 4 characters}-{Random 4 characters}-{Random 8 characters}}
• %Application Data%\{{Random 8 characters}-{Random 4 characters}-{Random 4 characters}-{Random 4 characters}-{Random 8 characters}}\{{Random 8 characters}-{Random 4 characters}-{Random 4 characters}-{Random 4 characters}-{Random 8 characters}}

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

スパイウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• {Generated String}

スパイウェアは、以下のプロセスにコードを組み込みます。

• chrome.exe
• firefox.exe
• iexplore.exe
• microsoftedgecp.exe

バックドア活動

スパイウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Update config
• Reboot system
• Execute arbitrary commands
• Inject shellcode in spawned cmd.exe process
• Execute powershell script
• Execute .exe files from pipe response
• Enumerates the bot’s code page
• Steal cookies
• Steal login information
• Obtain browser passwords
• Obtain autofill data (passwords, user number, card information)
• Obtain Outlook profiles

スパイウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• https://{BLOCKED}best.top
• https://{BLOCKED}lo.website
• https://{BLOCKED}dlim.top
• https://{BLOCKED}ipfo.top
• https://{BLOCKED}ilin.top
• https://{BLOCKED}ntlim.top

ダウンロード活動

スパイウェアは、以下のWebサイトにアクセスして自身の環境設定ファイルをダウンロードします。

• https://{BLOCKED}best.top/news/
• https://derrillo.{BLOCKED}e/news/
• https://{BLOCKED}dlim.top/news/
• https://{BLOCKED}ipfo.top/news/
• https://{BLOCKED}tilin.top/news/
• https://{BLOCKED}ntlim.top/news/

ただし、情報公開日現在、このWebサイトにはアクセスできません。

情報漏えい

スパイウェアは、以下の情報を収集します。

• Computer name
• Account name
• User Name
• SID
• Product information
• Native system information
• Network Join information
• Adapters information
• Workstation information

その他

スパイウェアが自身の不正活動を実行するためには、以下のコンポーネントが必要になります。

• %Application Data%\license.dat - encrypted module, detected as TrojanSpy.Win64.ICEDID.THCBBCDO.enc

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

スパイウェアは、以下を実行します。

• It generates its own SSL Certificates and saves it as:
  • %User Temp%\{random characters}.tmp

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

以下のスケジュールされたタスクを追加します：

• Task Name:{{Random 8 characters}-{Random 4 characters}-{Random 4 characters}-{Random 4 characters}-{Random 8 characters}}
  Task to be run:rundll32.exe %Application Data%\{{Random 8 characters}-{Random 4 characters}-{Random 4 characters}-{Random 4 characters}-{Random 8 characters}}\{{Random 8 characters}-{Random 4 characters}-{Random 4 characters}-{Random 4 characters}-{Random 8 characters}}\{Random letters}.dll, update /i:"license.dat"

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

---

  対応方法

ご利用はいかがでしたか？　アンケートにご協力ください