TSPY_BANKER.YOUX

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、以下のフォルダを作成します。

• %Application Data%\weblink

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

他のシステム変更

スパイウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\SOFTWARE\mopop

HKEY_CURRENT_USER\SOFTWARE\wsinfo

HKEY_CURRENT_USER\SOFTWARE\mopop\
wsd\20140804

HKEY_CURRENT_USER\SOFTWARE\mopop\
date\20140804

HKEY_CURRENT_USER\Software\WindowsTab2\
data

HKEY_CURRENT_USER\Software\weblink

スパイウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Main
FrameMerging = "0"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Main
SessionMerging = "0"

HKEY_CURRENT_USER\Software\mopop
dstate = "1"

HKEY_CURRENT_USER\Software\mopop
wsview = "0"

HKEY_CURRENT_USER\Software\mopop
dayview = "0"

HKEY_CURRENT_USER\Software\WindowsTab2\
data
windowstab.exe = "2013073101"

HKEY_CURRENT_USER\Software\weblink
sendlog = "20140804"

HKEY_CURRENT_USER\Software\weblink
dver = "2014-07-30 15:25:00"

作成活動

スパイウェアは、以下のファイルを作成します。

• %System Root%\searchopen3.dll
• %System Root%\windowstab.dll
• %User Temp%\140E.tmp
• %Application Data%\weblink\wblinkies.exe
• %Application Data%\weblink\weblinkup.exe
• %Application Data%\weblink\weblkun.exe

(註：%System Root%フォルダは、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。. %User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

その他

スパイウェアは、以下の不正なWebサイトにアクセスします。

• http://www.{BLOCKED}k.co.kr/app/windowstab/windowstab.php?{random characters}
• http://www.{BLOCKED}penpop.com/xml/wscheck.txt
• http://www.{BLOCKED}penpop.com/xml/mopop1.html
• http://{BLOCKED}.93.45/~paran/winsearch/opensearch3.html
• http://www.{BLOCKED}penpop.com/com/tinst.php?{random characters}
• http://www.{BLOCKED}penpop.com/com/tact.php?{random characters}
• {BLOCKED}.182.171
• {BLOCKED}0.1
• {BLOCKED}2.241.98
• {BLOCKED}.26.109
• {BLOCKED}.59.55

このウイルス情報は、自動解析システムにより作成されました。