TSPY_AIBATOOK

「AIBATOOK」の亜種は、情報収集や銀行のアカウント情報を収集するスパイウェアとして知られています。また、スパイウェアは、感染コンピュータのMACアドレスやオペレーションシステム（OS）の種類といった感染コンピュータの情報を収集することがあります。そして、スパイウェアは、セキュリティ関連のソフトウェアがインストールを確認します。このスパイウェアのファミリのもっとも一般的な不正活動は、"Application Data"フォルダへの自身のDLLコンポーネントの作成です。また、スパイウェアは、自身の環境設定ファイルとして利用されるファイル"INI.INI"を作成します。情報が収集されると、スパイウェアは、自身のC&Cサーバに接続し、情報を送信します。

スパイウェアは、特定のレジストリ値を削除するため、アプリケーションやプログラムが正しく起動しなくなります。

インストール

スパイウェアは、以下のファイルを作成します。

• %Application Data%\{random file name}.dll
• %Application Data%\ini.ini

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

他のシステム変更

スパイウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
TcpIpCfg = "Rundll32 "%Application Data%\{random file name}.dll" MainThread"

スパイウェアは、インストールの過程で以下のレジストリキーまたはレジストリ値を変更します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings
ProxyEnable = "0"

(註：変更前の上記レジストリ値は、「1」となります。)

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings
ProxyOverride = ""

(註：変更前の上記レジストリ値は、「<-loopback>;」となります。)

HKEY_CURRENT_CONFIG\Software\Microsoft\
Windows\CurrentVersion\Internet Settings
ProxyEnable = "0"

(註：変更前の上記レジストリ値は、「1」となります。)

スパイウェアは、以下のレジストリ値を削除します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings
ProxyServer = "http=127.0.0.1:8888;https=127.0.0.1:8888"

その他

スパイウェアは、以下の不正なWebサイトにアクセスします。

• http://www.{BLOCKED}001.info/ini.txt
• http://www.{BLOCKED}tj.info/mail.asp?MAC={MAC Address}&VER={OS Version}
• http://www.{BLOCKED}oo.com/get.asp?CardNum={Card Number}&Q1={Security Question 1}&A1={Answer to Security Question 1}&Q2={Security Question 2}&A2={Answer to Security Question 2}&LoginPass={Password}&PayPass={Password}&VER={Version}
• http://www.{BLOCKED}g.com/get.asp?CardNum={Card Number}&Q1={Security Question 1}&A1={Answer to Security Question 1}&Q2={Security Question 2}&A2={Answer to Security Question 2}&LoginPass={Password}&PayPass={Password}&VER={Version}