TSPY_BANKER.YWNJJ

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、以下のフォルダを作成します。

• %User Temp%\Hs_
• %Favorites%\¿¬°á
• %User Profile%\Application Data\User Pinned
• %User Profile%\User Pinned\StartMenu
• %Application Data%\Criteo

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.. %Favorites%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Favorites"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\Favorites" です。.. %User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞" です。.. %Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

自動実行方法

スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
28194751 = "%System Root%\4.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
syotom = "%System%\attrib.exe"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Wiseman = "%System Root%\5.exe"

他のシステム変更

スパイウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows Script\Settings

HKEY_CURRENT_USER\Software\Microsoft\
WisemanSupport

HKEY_CURRENT_USER\Software\Microsoft\
WisemanSupport\userset

スパイウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\AuthorizedApplications\
List
%System%\attrib.exe = "%System%\attrib.exe:*:Enabled:Sevsl"

HKEY_CURRENT_USER\Software\Microsoft\
Windows Script\Settings
JITDebug = "0"

HKEY_CURRENT_USER\Software\Microsoft\
WisemanSupport
wms_load = "7-1"

HKEY_CURRENT_USER\Software\Microsoft\
WisemanSupport
keycountperday = "0"

HKEY_CURRENT_USER\Software\Microsoft\
WisemanSupport
urlcountperday = "0"

HKEY_CURRENT_USER\Software\Microsoft\
WisemanSupport
ici = "{random characters}"

HKEY_CURRENT_USER\Software\Microsoft\
WisemanSupport
CriteoToast_ct_exe = "6c"

HKEY_CURRENT_USER\Software\Microsoft\
WisemanSupport
CriteoToast_ct_ini = "6a"

スパイウェアは、以下のレジストリ値を変更します。

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Main
Start Page = "www.naver.com"

(註：変更前の上記レジストリ値は、「http://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome」となります。)

スパイウェアは、以下のレジストリキーを削除します。

HKEY_CURRENT_USER\Software\Microsoft\
WisemanSupport\ru

作成活動

スパイウェアは、以下のファイルを作成します。

• %System Root%\4.exe
• %System Root%\5.exe
• %User Temp%\58b8052567ade6540adf05ec8d813970.zip
• %Application Data%\auction.ico
• %Desktop%\¿Á¼Ç.url
• %Favorites%\¿Á¼Ç.url
• %Favorites%\¿¬°á\¿Á¼Ç.url
• %Favorites%\Links\¿Á¼Ç.url
• %Start Menu%\¿Á¼Ç.url
• %User Profile%\StartMenu\¿Á¼Ç.url
• %User Profile%\Application Data\¿Á¼Ç.url
• %Application Data%\¿Á¼Ç.lnk
• %Application Data%\11st.ico
• %Desktop%\11¹ø°¡.url
• %Favorites%\11¹ø°¡.url
• %Favorites%\¿¬°á\11¹ø°¡.url
• %Favorites%\Links\11¹ø°¡.url
• %Start Menu%\11¹ø°¡.url
• %User Profile%\StartMenu\11¹ø°¡.url
• %User Profile%\Application Data\11¹ø°¡.url
• %Application Data%\11¹ø°¡.lnk
• %Application Data%\gmarket.ico
• %Desktop%\G¸¶ÄÏ.url
• %Favorites%\G¸¶ÄÏ.url
• %Favorites%\¿¬°á\G¸¶ÄÏ.url
• %Favorites%\Links\G¸¶ÄÏ.url
• %Start Menu%\G¸¶ÄÏ.url
• %User Profile%\StartMenu\G¸¶ÄÏ.url
• %User Profile%\Application Data\G¸¶ÄÏ.url
• %Application Data%\G¸¶ÄÏ.lnk
• %Application Data%\Wiseman\WisemanUpdate.exe
• %Application Data%\Criteo\criteo.exe
• %Application Data%\Criteo\criteosynd.ini

(註：%System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.. %User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.. %Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.. %Desktop%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Desktop"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\Desktop" です。.. %Favorites%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Favorites"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\Favorites" です。.. %Start Menu%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Windows\Start Menu" または "C:\Documents and Settings\＜ユーザ名＞\Start Menu"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu" です。.. %User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞" です。.)

その他

スパイウェアは、以下の不正なWebサイトにアクセスします。

• http://{BLOCKED}.38.8
• http://api.{BLOCKED}nsupport.com/wms/inf.php?pid=defapp&cid=0050569f71ec
• http://api.{BLOCKED}nsupport.com/wms/log.php?{random characters}
• http://api.{BLOCKED}hing.co.kr/{BLOCKED}hing/matchsitelist.php?pid=defapp&cid=0050569f71ec
• http://api.{BLOCKED}hing.co.kr/{BLOCKED}hing/urlmatchlist.php?pid=defapp&cid=0050569f71ec
• http://api.{BLOCKED}nsupport.com/wms/exdom.php
• http://api.{BLOCKED}nsupport.com/wms/bc.php?pid=defapp&mac=0050569f71ec
• http://api.{BLOCKED}nsupport.com/wms/ico/auction.ico
• http://api.{BLOCKED}nsupport.com/wms/ico/11st.ico
• http://api.{BLOCKED}nsupport.com/wms/ico/gmarket.ico
• http://api.{BLOCKED}nsupport.com/wms/upd.php?pid=defapp&cid=0050569f71ec
• http://api.{BLOCKED}nsupport.com/wms/df/WisemanUpdate.exe
• http://api.{BLOCKED}nsupport.com/wms/df/criteo.exe
• http://api.{BLOCKED}nsupport.com/wms/df/criteosynd.ini
• {BLOCKED}0.1
• {BLOCKED}.9.152
• {BLOCKED}6.166.175

このウイルス情報は、自動解析システムにより作成されました。