TROJ_UPATRE.SMJY

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、ダウンロードしたファイルを実行します。

マルウェア マルウェアは、自身（コンピュータに侵入して最初に自身のコピーを作成した マルウェア ）を削除します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

• %User Temp%\chivava.exe

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

マルウェアは、以下のファイルを作成します。

• %User Temp%\VavaLog.txt - Initially Contains malware file path and filename, then will be replaced by the downloaded encrypted data.

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスし、不正なファイルをダウンロードして実行します。

• {BLOCKED}.{BLOCKED}.107.28/static12.pdf
• {BLOCKED}.{BLOCKED}.107.36/static12.pdf
• {BLOCKED}.{BLOCKED}.97.236/static12.pdf
• {BLOCKED}.{BLOCKED}.97.238/static12.pdf
• {BLOCKED}.{BLOCKED}.97.239/static12.pdf
• {BLOCKED}.{BLOCKED}.97.242/static12.pdf
• {BLOCKED}.{BLOCKED}.92.27/static12.pdf
• {BLOCKED}.{BLOCKED}.67.173/static12.pdf
• {BLOCKED}.{BLOCKED}.86.177/static12.pdf
• {BLOCKED}.{BLOCKED}.211.242/static12.pdf
• {BLOCKED}.{BLOCKED}.235.209/static12.pdf
• {BLOCKED}.{BLOCKED}.239.248/static12.pdf
• {BLOCKED}.{BLOCKED}.255.69/static12.pdf
• {BLOCKED}.{BLOCKED}.52.35/static12.pdf
• {BLOCKED}.{BLOCKED}.23.245/static12.pdf
• {BLOCKED}.{BLOCKED}.28.70/static12.pdf
• {BLOCKED}.{BLOCKED}.97.236/static12.pdf

マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %User Temp%\{random}.exe - Detected as TSPY_DYRE.JJY

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

マルウェアは、ダウンロードしたファイルを実行します。

情報漏えい

マルウェアは、以下の情報を収集します。

• Computer name
• Operating system version
• Service pack installed

その他

マルウェアは、以下のWebサイトにアクセスして感染コンピュータのIPアドレスを収集します。

• icanhazip.com

マルウェア は、自身（コンピュータに侵入して最初に自身のコピーを作成した マルウェア ）を削除します。

マルウェアが作成する以下のファイルは、初期状態ではマルウェアのファイルパスおよびファイル名を含んでおり、その後、ダウンロードされる暗号化されたデータに置き換えられます。

• %User Temp%\VavaLog.txt

マルウェアがダウンロードする以下のファイルは、「TSPY_DYRE.JJY」として検出されます。

• %User Temp%\{random}.exe

マルウェアが収集する情報は、以下のとおりです。

• コンピュータ名
• オペレーティングシステム（OS）のバージョン
• インストールされたサービスパック

マルウェアは、以下のURLへアクセスし感染コンピュータの感染を通知します。

• http://{BLOCKED}.{BLOCKED}.17.201:{port}/TBS12/{host name}/{number}/{OS version} - {Service Packed Installed}/{number}/

「{port}」は、以下のいずれかとなる可能性があります。

• 13312
• 13313
• 13314
• 13315

マルウェアは、感染コンピュータの以下の情報を報告します。

• コンピュータ名
• オペレーティングシステム（OS）のバージョン
• インストールされたサービスパック

マルウェアは、最初に実行された自身のコピーを削除します。

マルウェアは、ルートキット機能を備えていません。

マルウェアは、脆弱性を利用した感染活動を行いません。