TSPY_BEBLOH.SMJ

スパイウェアは、リモートサイトから他のマルウェア、グレイウェアまたはスパイウェアにダウンロードされ、コンピュータに侵入します。

スパイウェアは、特定の銀行および金融機関のWebサイトで利用されるユーザ名やパスワードなどの個人情報を収集します。

侵入方法

スパイウェアは、リモートサイトから他のマルウェア、グレイウェアまたはスパイウェアにダウンロードされ、コンピュータに侵入します。

インストール

スパイウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %System%\{random name}.exe

(註：%System%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\System"、Windows NT および 2000 の場合、"C:\WinNT\System32"、Windows XP および Server 2003 の場合、"C:\Windows\System32" です。)

スパイウェアは、以下のプロセスに自身を組み込み、システムのプロセスに常駐します。

• csrss.exe

自動実行方法

スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Image File Execution Options\
userinit.exe
Debugger = {malware file name}.exe

他のシステム変更

スパイウェアは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Image File Execution Options\
chrome.exe
Debugger = %Program Files%\Internet Explorer\iexplore.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Image File Execution Options\
navigator.exe
Debugger = %Program Files%\Internet Explorer\iexplore.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Image File Execution Options\
opera.exe
Debugger = %Program Files%\Internet Explorer\iexplore.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Image File Execution Options\
safari.exe
Debugger = %Program Files%\Internet Explorer\iexplore.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Internet Settings\
mapzone
(Default) = 58,77,e2,41,af,b9,c5,c2,fd,7d,fb,4b,24,83,9b,5c,c1,d0,24,01,62,ea,b6,12,6f,7c,97,43,85,4b,2c,21,00,f2,a0,1c,55,c1,f8,17,aa,90,50,13,ff,5f,a8,0e,54,4e,76,7e,c6,9a,32,2b,9d,a3,80,38,6a,b2,61,9a,86,05,3a,f7,fd,3b,b7,f2,52,0b,0f,ee,a7,da,66,e9,fc,a9,be,e4,51,79,16,e0,a6,24,07,a8,8f,76,b4,be,39,91,33,b1,cb,99,4d,f4,d5,e3,ab,e6,26,30,25,c4,a4,24,7d,bf,f9,f3,d4,ba,4e,c3,2c,b6,a3,92,84,b1,f8,51,f6,ac,4d,60,07,e3,e3,37,cd,e9,b5,8e,af,d1,02,a9,7e,d5,ed,2a,aa,95,f6,3d,eb,90,4b,0d,43,8c,a0,dc,9a,87,f5,ab,f2

ダウンロード活動

スパイウェアは、以下のWebサイトにアクセスして自身の環境設定ファイルをダウンロードします。

• {BLOCKED}omde.cn

情報漏えい

スパイウェアは、以下の銀行もしくは金融機関で利用される個人情報を収集します。

• Deutsche Bank
• Deutsche Postbank AG
• HypoVereinsbank
• Volksbank Emmerich-Rees

情報の送信先

上記ファイルは、HTTPポストを介し、以下のURLに送信されます。

• {BLOCKED}omde.cn

その他

このスパイウェアのコードから、スパイウェアは、以下の機能を備えています。

• Manipulates the account page to display no changes in the user's account balance
• Steal money from accounts

ハッシュ値情報

スパイウェアは、以下のMD5ハッシュ値を含んでいます。

• 27e8351a5b0bea5ef15c6681007fdee5

スパイウェアは、以下のSHA1ハッシュ値を含んでいます

• eb684cca887e2ca204bd831be3cd3d512875a0a1