TSPY_BOOTKOR.AF

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、イベントを作成します。 スパイウェアは、実行後、自身を削除します。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、以下のコンポーネントファイルを作成します。

• %System%\gbp.ini
• %System%\golfinfo.ini
• %System%\{random filename1}.dll - also detected as TSPY_BOOTKOR.AF
• %System%\{random filename2}.exe - also detected as TSPY_BOOTKOR.AF
• %System%\{random filename1}.exe - also detected as TSPY_BOOTKOR.AF

(註：%System%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\System"、Windows NT および 2000 の場合、"C:\WinNT\System32"、Windows XP および Server 2003 の場合、"C:\Windows\System32" です。)

自動実行方法

スパイウェアは、自身のDLLコンポーネントを用いて、以下のサービスを作成します。

• ServiceName={random}
• Binary Path="%SystemRoot%\System32\svchost.exe -k {random}"

他のシステム変更

スパイウェアは、以下のレジストリ値を変更します。

HKEY_USERS\.DEFAULT\Software\
Microsoft\Windows\CurrentVersion\
Explorer\Shell Folders
Cookies = "C:\Documents and Settings\LocalService\Cookies"

(註：変更前の上記レジストリ値は、「"C:\Documents and Settings\NetworkService\Cookies"」となります。)

HKEY_USERS\.DEFAULT\Software\
Microsoft\Windows\CurrentVersion\
Explorer\Shell Folders
Cache = "C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files"

(註：変更前の上記レジストリ値は、「"C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files"」となります。)

スパイウェアは、インストールの過程で以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\SvcHost
{random2} = "{random1}"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Enum\Root\LEGACY_{random1}
NextInstance = dword:00000001

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Enum\Root\LEGACY_{random1}\
0000
Service = "{random1}"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Enum\Root\LEGACY_{random1}\
0000
Legacy = dword:00000001

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Enum\Root\LEGACY_{random1}\
0000
ConfigFlags = dword:00000000

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Enum\Root\LEGACY_{random1}\
0000
Class = "LegacyDriver"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Enum\Root\LEGACY_{random1}\
0000
ClassGUID = "{8ECC055D-047F-11D1-A537-0000F8753ED1}"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Enum\Root\LEGACY_{random1}\
0000
DeviceDesc = "{random3}"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Enum\Root\LEGACY_{random1}\
0000\Control
ActiveService = "{random1}"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{random1}
ImagePath = "%System%\svchost.exe -k {random2}"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{random1}
DisplayName = "{random3}"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{random1}\Parameters
ServiceDll = "%System%\{random filename1}.dll"

情報漏えい

[Malware]は、環境設定ファイルに記述されている認証情報を用い、収集した情報を以下のWebサイトへ送信します。

• {BLOCKED}.{BLOCKED}.75.28
• {BLOCKED}.{BLOCKED}.109.4

その他

このスパイウェアのコードから、スパイウェアは、以下の機能を備えています。

• Collect system information and send to the specified remote servers.
• Update its copy.
• Capture Screenshots when the process PMCLIENT.EXE is found.

スパイウェアは、以下のプロセスの存在を確認します。

• PMCLIENT.EXE

スパイウェアは、以下のイベントを作成します。

• "CupidIsInstalling"

スパイウェアは、実行後、自身を削除します。