TSPY_BEBLOH.YMNOV

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。 スパイウェアは、リモートサイトから他のマルウェアまたはグレイウェアにダウンロードされ、コンピュータに侵入します。

スパイウェアは、ワーム活動の機能を備えていません。

スパイウェアは、バックドア活動の機能を備えていません。

スパイウェアは、ダウンロードしたファイルを実行します。

スパイウェアは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、リモートサイトから以下のマルウェアまたはグレイウェアにダウンロードされ、コンピュータに侵入します。

• X2KM_POWLOAD.TIAOEGM

スパイウェアは、以下のリモートサイトからダウンロードされ、コンピュータに侵入します。

• http://{BLOCKED}rama.com/hope

インストール

スパイウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Program Files%\Windows NT\{random string}.exe
  (Note: Creation of this copy is triggered when the affected system is shutting down)

(註：%Program Files%フォルダは、プログラムファイルのフォルダで、いずれのオペレーティングシステム(OS)でも通常、 "C:\Program Files"、64bitのOS上で32bitのアプリケーションを実行している場合、 "C:\Program Files (x86)" です。.)

スパイウェアは、以下のファイルを作成します。

• {Malware Path}\mp

スパイウェアは、以下のプロセスを追加します。

• explorer.exe

スパイウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• Uz{Random Hex}

スパイウェアは、以下のプロセスにコードを組み込みます。

• created explorer.exe

自動実行方法

スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{random string} = "%Program Files%\Windows NT\{random string}.lnk"
(Note: Creation of this registry entry is triggered when the affected system is shutting down)

スパイウェアは、以下のファイルを作成します。

• %Program Files%\Windows NT\{random string}.lnk <- points to the copy
  (Note: Creation of this file is triggered when the affected system is shutting down, appends parameter "-autorun" to executed copy)

(註：%Program Files%フォルダは、プログラムファイルのフォルダで、いずれのオペレーティングシステム(OS)でも通常、 "C:\Program Files"、64bitのOS上で32bitのアプリケーションを実行している場合、 "C:\Program Files (x86)" です。.)

他のシステム変更

スパイウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\{random key}

スパイウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\{random key}
(Default) = {hex values}

感染活動

スパイウェアは、ワーム活動の機能を備えていません。

バックドア活動

スパイウェアは、バックドア活動の機能を備えていません。

ルートキット機能

マルウェアは、ルートキット機能を備えていません

ダウンロード活動

スパイウェアは、以下のWebサイトにアクセスし、不正なファイルをダウンロードして実行します。

• http://{BLOCKED}t.cz/olex.exe
  NOTE: The download site may vary depending on the C&C server

スパイウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %User Temp%\olex.exe

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

トレンドマイクロの製品では、ダウンロードしたファイルを以下として検出します。

• TSPY_URSNIF.TIBAIAR

スパイウェアは、ダウンロードしたファイルを実行します。

情報収集

スパイウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

• http://{BLOCKED}ran.com/auth/?tver={value}&vcmd={value}&cc={value}&hh={Hex Value}&ipcnf={Ip address}+&sckport={value}&pros={value}&keret={value};&email={value}

その他

スパイウェアは、以下のWebサイトにアクセスしてインターネット接続を確認します。

• www.google.com

スパイウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• {Random Generated Domain}.com
• {Random Generated Domain}.net
• {BLOCKED}ran.com/auth/

スパイウェアは、感染したコンピュータ内に以下の自身のコピーを作成します。

• %Program Files%\Windows NT\{ランダムな文字列}.exe
  （註:このコピーは、感染したコンピュータがシャットダウンされる際に作成されます。）

スパイウェアが作成する以下のファイルは、自身のコピーに誘導するショートカットファイルです。

• ％Program Files%\Windows NT\{ランダムな文字列}.lnk
  （註:このファイルは、感染したコンピュータがシャットダウンされ、実行されたコピーにパラメータ"-autorun"が追加される際に作成されます。）

スパイウェアは、以下のWebサイトにアクセスし、不正なファイルをダウンロードして実行します。

• http://{BLOCKED}t.cz/olex.exe
  （註：ダウンロードサイトは、C&Cサーバの応答により異なる場合があります。）

スパイウェアは、以下の動作を実行します。

• スパイウェアは、自身がVMWareによる仮想環境下で実行されていることを確認した場合、不正活動を続行しません。
• スパイウェアは、Google Chrome および Mozilla Firefox のキャッシュが保存されたファイルを削除します。
• マルウェアは、C&Cサーバからの応答に基づき、以下のいずれかを実行します。
  • スリープおよび次の応答まで待機
  • 他の不正ファイルをダウンロードするURLの受信

スパイウェアは、以下の情報を収集し、自身のサーバに報告します。

• コンピュータ名
• オペレーティング・システム(OS)の情報(バージョン、製品ID, 製品名, インストール日)
• Internet Explorer（IE）のファイル情報
• ボリュームシリアルの番号
• ネットワーク環境（IPアドレス、ソケット、ポート）
• キーボードの配置

マルウェアは、脆弱性を利用した感染活動を行いません。