TSPY_BEBLOH.YMNPV

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

2018年8月、トレンドマイクロは、ボットネット「CUTWAIL」からの日本のユーザを対象としたスパムメール送信活動を確認しました。スパムメールには、IQYファイルを悪用する手法が採用されていました。

このマルウェアは、上述のスパムメール送信活動で最終的にダウンロードされるペイロードのひとつです。

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Program Files%\Windows NT\{random filename}.exe
  (Note: Creation of this copy is triggered when the affected system is shutting down)

(註：%Program Files%フォルダは、デフォルトのプログラムファイルフォルダです。Windows 2000、Server 2003、XP（32-bit）,Vista（32-bit）、7（32-bit）、8（32-bit）の場合、通常 "C:\Program Files"です。また、Windows XP（64-bit）、Vista（64-bit）、7（64-bit）、8（64-bit）の場合、通常 "C:\Program Files（x86）" です。)

スパイウェアは、以下のプロセスを追加します。

• explorer.exe

スパイウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• Uz{Random Hex}

スパイウェアは、以下のプロセスにコードを組み込みます。

• The created "explorer.exe" by this malware

自動実行方法

スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{random string} = "%Application Data%\{random string}.lnk"

(Note: Creation of this registry entry is triggered when the affected system is shutting down)

他のシステム変更

スパイウェアは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\{Random Key}

スパイウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\{random key}
(Default) = {Hex Values}

情報漏えい

スパイウェアは、以下の情報を収集します。

• Machine Name
• OS Information (Version, Product ID, Name, Install Date)
• Explorer File Information
• Volume Serial Number
• Network Configuration (IP address, Socket, Ports)
• Keyboard Layout

情報収集

スパイウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

• https://{BLOCKED}exir.com/auth/tver={value}&vcmd={value}&cc={value}&hh={hex values}&ipcnf={IP address}+&sckport={value}&pros={value}&keret={value};&email={value}

その他

スパイウェアは、以下のWebサイトにアクセスしてインターネット接続を確認します。

• www.google.com

＜補足＞
インストール

スパイウェアは、感染したコンピュータ内に以下のように自身のコピーを作成し、実行します。

• %Program Files%\Windows NT\{ランダムなファイル名}.exe
  （注:このコピーは、感染コンピュータがシャットダウンされる際に作成されます。）

スパイウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• Uz{ランダムな16進数の値}

スパイウェアは、作成した以下のプロセスにコードを組み込みます。

• explorer.exe

自動実行方法

スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

• HKEY_CURRENT_USER\Software\Microsoft\ Windows\CurrentVersion\Run {ランダムな文字列} = "%Application Data%\{ランダムな文字列}.lnk"

（注:このレジストリ値は、感染コンピュータがシャットダウンされる際に作成されます。）

情報漏えい

スパイウェアは、以下の情報を収集します。

• コンピュータ名
• オペレーティング・システム(OS)の情報(バージョン、製品ID, 製品名, インストール日)
• explorer.exeファイルの情報
• ボリュームシリアルの番号
• ネットワーク環境（IPアドレス、ソケット、ポート）
• キーボードの配置

その他

スパイウェアは、以下のWebサイトにアクセスして情報を送受信します。

• https://{BLOCKED}exir.com/auth/
• {ランダムに生成されたドメイン}.com
• {ランダムに生成されたドメイン}.net

スパイウェアは、以下を実行します。

• 自身の更新
• 自身がVMWareによる仮想環境下で実行されていることを確認した場合、不正活動を続行しない
• Google Chrome および Mozilla Firefox のキャッシュが保存されたファイルを削除する

スパイウェアは、C&Cサーバからの応答に基づき、以下のいずれかを実行します。

• スリープおよび次の応答まで待機
• 他の不正ファイルをダウンロードするURLの受信

作成する自身のコピーのファイル名に、以下の文字列とランダムな文字を組み合わせたものが利用されます。

• def
• dns
• exec
• hlp
• logon
• mem
• mixer
• mon
• pack
• play
• setup
• srv
• user
• video
• win

（注：なお、作成する自身のコピーのファイル名として純粋にランダムな文字の組み合わせが利用されることもあります。）