TrojanSpy.Win32.INFOSTEAL.ERG

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、以下のファイルを作成します。

• %Program Files%\Google\Chrome\Application\winhttp.dll <- copy of %Temporary Internet Files%\Content.IE5\{random}\ChromeX86.dat or %Temporary Internet Files%\Content.IE5\{random}\ChromeX64.dat
• %User Temp%\{Random number}.dat <- copies of "\Google\Chrome\User Data\Default\Cookies", "\Google\Chrome\User Data\Default\Login Data", "\Google\Chrome\User Data\Profile 1\Login Data"

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

スパイウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• yesterday

他のシステム変更

スパイウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
telezilla
telezilla = "乕"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
Ebayssistant 1.0
Database = "{Malware path}\{Malware Filename}.exe"

ダウンロード活動

スパイウェアは、以下のWebサイトにアクセスして自身のコンポーネントファイルをダウンロードします。

• http://www.{BLOCKED}caddress.com/D/ChromeX64.dat -> 64bit Operating System
• http://www.{BLOCKED}caddress.com/D/ChromeX86.dat -> 32bit Operating System

スパイウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %Temporary Internet Files%\Content.IE5\{random}\ChromeX86.dat <- for 32-bit Operating System
• %Temporary Internet Files%\Content.IE5\{random}\ChromeX64.dat <- for 64-bit Operating System

情報漏えい

スパイウェアは、以下の情報を収集します。

• System Information (Machine Name, Operating System)
• Browsers
• User Domain
• User Profile
• Facebook Account Credentials
  • Access token
  • Businees ID
  • Account ID
  • Credit Card Details
  • Paypal Details

情報収集

スパイウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

• http://www.{BLOCKED}caddress.com/index.php
• http://www.{BLOCKED}caddress.com/index.php/Index/installresult

<補足>
インストール

スパイウェアは、以下のファイルを作成します。

• %Program Files%\Google\Chrome\Application\winhttp.dll ← %Temporary Internet Files%\Content.IE5\{ランダム}\ChromeX86.dat または %Temporary Internet Files%\Content.IE5\{ランダム}\ChromeX64.dat のコピー
• %User Temp%\{乱数}.dat ← "\Google\Chrome\User Data\Default\Cookies", "\Google\Chrome\User Data\Default\Login Data", "\Google\Chrome\User Data\Profile 1\Login Data" のコピー

ダウンロード活動

スパイウェアは、以下のWebサイトにアクセスして自身のコンポーネントファイルをダウンロードします。

• http://www.{BLOCKED}caddress.com/D/ChromeX64.dat → 64bit オペレーティングシステム(OS)
• http://www.{BLOCKED}caddress.com/D/ChromeX86.dat → 32bit オペレーティングシステム(OS)

スパイウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %Temporary Internet Files%\Content.IE5\{random}\ChromeX86.dat ← 32-bit オペレーティングシステム(OS)の場合
• %Temporary Internet Files%\Content.IE5\{random}\ChromeX64.dat ← 64-bit オペレーティングシステム(OS)の場合

情報漏えい

スパイウェアは、以下の情報を収集します。

• システム情報 (コンピュータ名、OS)
• ブラウザ
• ユーザドメイン
• ユーザプロファイル
• Facebookアカウントの認証情報
  • アクセストークン
  • ビジネスID
  • アカウントID
  • クレジットカードの詳細
  • Paypalの詳細