TrojanSpy.Win32.CAMUBOT.A

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、以下のコンポーネントファイルを作成します。

• %User Temp%\protecao.exe ← Component file for its SSH Connection
• %User Temp%\Renci.SshNet.dll ← Component file for its SSH Connection
• %ProgramData%\m.msi ← Component file for its SSH Connection

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %ProgramData%フォルダは、マルチユーザーシステムにおいて任意のユーザがプログラムに変更を加えることができるプログラムファイルフォルダのバージョンです。これには、すべてのユーザのアプリケーションデータが含まれます。Windows Vista、7、8の場合、通常 "C:\ProgramData" です。)

スパイウェアは、以下のプロセスを追加します。

• msiexec /i "%ProgramData%\m.msi" /qn ADDLOCAL=ALL REMOVE=Drivers_cln_f ← Command to install its dropped configuration file
• %System%\netsh.exe” firewall add allowedprogram “{Directory of Malware}” Anti-Virus ENABLE ← Command to add itself as trusted

(註：%ProgramData%フォルダは、マルチユーザーシステムにおいて任意のユーザがプログラムに変更を加えることができるプログラムファイルフォルダのバージョンです。これには、すべてのユーザのアプリケーションデータが含まれます。Windows Vista、7、8の場合、通常 "C:\ProgramData" です。. %System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

ダウンロード活動

スパイウェアは、以下のWebサイトにアクセスして自身のコンポーネントファイルをダウンロードします。

• http://www.{BLOCKED}er-network.com/usb-over-network-32bit.msi

情報漏えい

スパイウェアは、以下の情報を収集します。

• Processor Type
• Locale Name
• OS Version
• OS Product Name
• IP Address

その他

スパイウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• http://{BLOCKED}.{BLOCKED}.198.90/pan/up.php