TSPY_AIBATOOK.LIX

スパイウェアは、他のマルウェアに作成され、コンピュータに侵入します。

スパイウェアは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

スパイウェアは、以下のマルウェアに作成され、コンピュータに侵入します。

• SWF_EXPLOIT.PB

インストール

スパイウェアは、以下のファイルを作成します。

• %Application Data%\ini.ini

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

スパイウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Application Data%\{random}.dll

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

自動実行方法

スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
TcpIpCfg = "rundll32 "%Application Data%\{random}.dll" Main Thread"

ダウンロード活動

スパイウェアは、以下のWebサイトから自身のコピーの更新版ファイルをダウンロードします。

• http://www.{BLOCKED}u.com/conhost.exe?{random}

情報漏えい

スパイウェアは、以下のWebサイトにアクセスし、自身の環境設定ファイルをダウンロードします。

• http://{BLOCKED}e.{BLOCKED}a.ne.jp/ml6557

スパイウェアは、以下の情報を収集します。

• Mac Address
• OS Version
• Antivirus installed
  where {AV Installed} is any of the following:

  ALYac
  PC-cillin
  Avast
  McAfee
  MSE
  Naver
  RoboScan
  Vr3Lite
  V3 IS
  AVG
  Avira
  AVP
  Symantec
  Nod32
  Virus Chaser
  

その他

スパイウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• http://www.{BLOCKED}s.com/getp.asp?MAC={Mac Address}&VER={OS Info} %20Antivirus:{AV Installed}