「EMOTET」の新亜種を確認。Windows APIを悪用してサンドボックス検出と解析を回避 | トレンドマイクロ セキュリティブログ

トレンドマイクロは、2017年9月の記事で、当初オンライン銀行詐欺ツール（バンキングトロジャン）であった「EMOTET（エモテット）」が、さまざまなマルウェアを拡散するマルウェアに進化して再活発化し、金融機関以外の業界や新しい地域へと攻撃を拡大した事例について報告しました。今回は、従来の挙動にさらに変更を加え、サンドボックス検出やマルウェア解析を回避するための新しいルーチンを取り入れた亜種（「TSPY_EMOTET.SMD10」として検出）について解説します。 EMOTET にはこれまで、解析回避のために RunPE技術が利用されていましたが、今回確認された亜種では「CreateTimerQueueTimer」関数の利用へ変更されています。CreateTimerQueueTimer は、タイマキュータイマを作成する Windows API です。タイマは、指定された時刻にコールバック関数を