TrojanSpy.Win32.FAUXPERSKY.AA

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、以下のプロセスを追加します。

• %System%\cmd.exe /c ping -n 1 -w 1000 www.google.com.my>Ping.sb → checks internet connection
• {Malware file path}\winlogin.exe → if not running in the system
• %AppData%\Temp.exe → if file is downloaded successfully

他のシステム変更

スパイウェアは、以下のファイルを削除します。

• {Malware file path}\S_Core.txt
• {Malware file path}\S_CMD.txt
• {Malware file path}\S_PTC.txt

プロセスの終了

スパイウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• msiexec.exe

ダウンロード活動

スパイウェアは、以下のWebサイトにアクセスし、ファイルをダウンロードします。

• https://kasperskypure.{BLOCKED}pp.com/S_Core.txt
• https://kasperskypure.{BLOCKED}pp.com/S_CMD.txt
• https://kasperskypure.{BLOCKED}pp.com/S_PTC.txt
• https://kasperskypure.{BLOCKED}pp.com/spoolsvc.exe → downloaded to update existing files in the system
• https://kasperskypure.{BLOCKED}pp.com/Temp.exe → downloaded to update existing files in the system

スパイウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• {Malware file path}\S_Core.txt
• {Malware file path}\S_CMD.txt
• {Malware file path}\S_PTC.txt
• {Malware file path}\spoolsvc.exe
• %AppData%\Temp.exe

情報漏えい

スパイウェアは、以下の情報を収集します。

• OS Version
• Computer Name
• User Name
• IP Address
• Content:
  • Update number of downloaded files, spoolsvc.exe and Temp.exe
  • Success message if execution of downloaded files are successful

その他

スパイウェアは、以下のWebサイトにアクセスしてインターネット接続を確認します。

• www.google.com.my

スパイウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• https://docs.google.com/forms/d/e/{BLOCKED}LSe6oGStKSshScVonAyCVFOrhANSfnmm0Im-aabnBX5ZjLabbA/viewform?entry.{BLOCKED}914=%A_OSVersion%&entry.{BLOCKED}477=%A_ComputerName%&entry.{BLOCKED}695=%A_UserName%&entry.{BLOCKED}0660=%A_IPAddress1%

スパイウェアは、以下を実行します。

• It checks the contents of Ping.sb if it contains the string "could not find".
  • If found, it repeatedly checks for internet connection.
• It checks if all the components of the malware are already running.
• It checks if the following files are present in the directory where the sample is located:
  • winlogin.exe → executed if found
  • spoolsvc.exe
    • If found:
      • It compares the last update time of spoolsvc.exe with S_Core.txt.
      • If outdated, it downloads the updated version of the file.
• It checks if the following files are present in %AppData%:
  • Temp.exe
    • It downloads the file if not found.
    • It compares the last update time of Temp.exe with S_CMD.txt.
    • If outdated, it downloads the updated version of the file.
• It sets the file attributes of the following files to Read-Only, Hidden, and System:
  • {Malware file path}\spoolsvc.exe
  • %AppData%\Temp.exe
• It exfiltrates information via Google Forms.