TROJ_UPATRE.YYSUY

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、自身の環境設定ファイルを読み取ります。この環境設定ファイルには、リモートサーバに送信されるコマンドおよびデータが含まれています。 スパイウェアは、特定のWebサイトにアクセスし、情報を送受信します。 ただし、情報公開日現在、このWebサイトにはアクセスできません。

スパイウェアは、収集した情報をリモートサイトに送信します。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、以下のリモートサイトからダウンロードされ、コンピュータに侵入します。

• http://{BLOCKED}.{BLOCKED}.91.0/weblander.exe

インストール

スパイウェアは、以下のファイルを作成します。

• {malware path}\weblander.ini
• %User Temp%\{random}.tmp

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

バックドア活動

スパイウェアは、自身の環境設定ファイルを読み取ります。この環境設定ファイルには、リモートサーバに送信されるコマンドおよびデータが含まれています。

スパイウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• http://c2tongji.{BLOCKED}6.com:89/stats.php?
  
  Using the following parameters:
  
  • m={mac address}
  • uid = {user id}
  • hid = {hard disk serial number}
  • channelid = {channel id}
  • p = {filename}
  • tick = {value}
  • pq = {value}
  • p3 = {value}

ただし、情報公開日現在、このWebサイトにはアクセスできません。

情報漏えい

スパイウェアは、収集した情報をリモートサイトに送信します。

その他

この環境設定ファイルは、自身のコピーの更新版をダウンロードするURLおよび収集された情報の送信先のURLを含む場合があります。