TrojanSpy.MSIL.EXMATTER.C
MSIL/Spy.Exmatter.A trojan (NOD32)
Windows
マルウェアタイプ:
スパイウェア/情报窃取型
破壊活动の有无:
なし
暗号化:
感染報告の有無 :
はい
? 概要
スパイウェアは、他のマルウェアに作成されるか、悪意ある奥别产サイトからユーザが误ってダウンロードすることによりコンピュータに侵入します。
ただし、情报公开日现在、この奥别产サイトにはアクセスできません。
詳細
侵入方法
スパイウェアは、他のマルウェアに作成されるか、悪意ある奥别产サイトからユーザが误ってダウンロードすることによりコンピュータに侵入します。
インストール
スパイウェアは、以下のプロセスを追加します。
- "%System%\WindowsPowerShell\v1.0\powershell.exe" -C "Stop-Process -Id {Process ID}; Start-Sleep 3; Set-Content -Path '{Malware Folder}\{Malware Filename}' -Value 0" → "melt function" after successful execution it executes a powershell script to overwrite itself leaving a 0 value
(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)
スパイウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。
- user2user3
情报漏えい
スパイウェアは、以下のパラメータを受け取ります。
- --background or -b → executes itself with its window hidden
- --nomutex or -nm → no mutex creation
- -t → inputs specific number of threads
その他
スパイウェアは、以下を実行します。
- It takes ownership of its executable folder and removes all other account’s access
- The files it sends must be from 1 year ago up to 6 years ago from its execution date
- The files it sends must be from 6 months ago up to 10 years from its execution date
- It does not send system files, temporary files, and directories
- It does not send files smaller than 8192 bytes
- It does not send files larger than 67108864 bytes
- It does not send files from the following directories:
- \System Volume Information
- C:\Users\All Users\Microsoft
- C:\ProgramData
- C:\Windows
- C:\$Recycle.Bin
- C:\Documents and Settings
- C:\PerfLogs
- AppData\Roaming\Microsoft
- C:\Program Files (x86)
- AppData\Local\Microsoft
- AppData\Local\Packages
- C:\Program Files
- C:\Program Files (x86)
- It uploads files with the ff. extensions:
- ppt
- doc
- docx
- docm
- xls
- xlsx
- xlsm
- ppt
- pptx
- pptm
- xps
- accdb
- png
- jpg
- jpeg
- txt
- bmp
- rdp
- sql
- sqlite
- db
- json
- msg
- pst
- zip
- rtf
- ipt
- dwg
- Creates a directory at the following URLs where it uploads the files:
- http://{BLOCKED}.{BLOCKED}.41.58/data
- {BLOCKED}.{BLOCKED}.41.58 → uploads files via SFTP with predefined credentials
ただし、情报公开日现在、この奥别产サイトにはアクセスできません。
対応方法
手順 1
トレンドマイクロの机械学习型検索は、マルウェアの存在を示す兆候が确认された时点で検出し、マルウェアが実行される前にブロックします。机械学习型検索が有効になっている场合、弊社のウイルス対策製品はこのマルウェアを以下の机械学习型検出名として検出します。
- TROJ.Win32.TRX.XXPE50FFF060
手順 2
Windows 7、Windows 8、Windows 8.1、および Windows 10 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を无効にしてください。
手順 3
このマルウェアもしくはアドウェア等の実行により、手顺中に记载されたすべてのファイル、フォルダおよびレジストリキーや値がコンピュータにインストールされるとは限りません。インストールが不完全である场合の他、オペレーティングシステム（翱厂）の条件によりインストールがされない场合が考えられます。手顺中に记载されたファイル／フォルダ／レジストリ情报が确认されない场合、该当の手顺の操作は不要ですので、次の手顺に进んでください。
手順 4
「罢谤辞箩补苍厂辫测.惭厂滨尝.贰齿惭础罢罢贰搁.颁」で検出したファイル名を确认し、そのファイルを终了します。
- すべての実行中プロセスが、Windows のタスクマネージャに表示されない場合があります。この場合、"Process Explorer" などのツールを使用しマルウェアのファイルを終了してください。"Process Explorer" については、をご参照下さい。
- 検出ファイルが、Windows のタスクマネージャまたは "Process Explorer" に表示されるものの、削除できない場合があります。この場合、コンピュータをセーフモードで再起動してください。
セーフモードについては、をご参照下さい。 - 検出ファイルがタスクマネージャ上で表示されない场合、次の手顺にお进みください。
手順 5
最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「TrojanSpy.MSIL.EXMATTER.C」と検出したファイルはすべて削除してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。