TSPY_DECBAL.A

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、以下のファイルを作成します。

• "%User Profile%\{hex values derived from username}.dat" - Log file
• "%User Profile%\{hex values derived from computer name}.dat" - Log file
• %User Profile%\InternetExplorer.lnk - Shortcut for dropped copy

(註：%User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞" です。)

スパイウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %User Profile%\iexplore.exe

(註：%User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞" です。)

スパイウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• {hex values derived from username and computer name of affected machine}

自動実行方法

スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
Explorer\Run
Internet Explorer = "%User Profile%\InternetExplorer.lnk" - If OS version is lower than Windows Vista

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\policies\
Explorer\Run
Internet Explorer = "%User Profile%\InternetExplorer.lnk" - If OS version is lower than Windows Vista

HKEY_CURRENT_USER\Software\Microsoft\
Windows NT\CurrentVersion\Windows
Load = "%User Profile%\InternetExplorer.lnk" - If OS version is Windows Vista and up

情報収集

スパイウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

• http://{BLOCKED}st.ro/fisier.php?&co={hex values derived from computer name}_&us={hex values derived from username}_&av={hex values derived from installed AV product name}_&os={hex values derived from OS version and processor}_&tr2={hex values derived from track data}

その他

スパイウェアが作成する以下のファイルは、ログファイルです。

• %User Profile%\{hex values derived from username}.dat
• %User Profile%\{hex values derived from computer name}.dat

スパイウェアが作成する以下のファイルは、作成されたコピーへのショートカットです。

• %User Profile%\InternetExplorer.lnk

スパイウェアは、作成されたログファイルから記録された情報を収集します。

この作成されたログファイルは、実行後削除されます。

スパイウェアは、User Agent "Decebalv1.0"を利用します。

「OS version」は、以下のいずれかとなる可能性があります。

• Windows 95
• Windows 98
• Windows Millenium
• Windows NT 3.51
• Windows NT 4.0
• Windows 2000
• Windows XP
• Windows 2003 (SERVER)
• Windows Vista
• Windows 7
• Windows 8
• Unknown

スパイウェアは、感染コンピュータ内に、以下のようなサンドボックスおよびリバースエンジニアリングのソフトウェアがインストールされているかを確認します。

• Sandboxie
• Windbg
• Buster Sandbox Analyzer
• VMWare
• Joe Sandbox Desktop
• ThreatAnalyzer Features
• IDAPro+Bochs debugger
• Norman Sandbox

また、スパイウェアは、実行されたファイルのファイル名が"sample"であるかを確認します。

以下のいずれかが確認されると、スパイウェアは、自身を終了します。

以下のレジストリキーで確認される実行中プロセスを終了します。

• Software\Microsoft\Windows\CurrentVersion\Run
• Software\Microsoft\Windows\CurrentVersion\Run
• Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run
• Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run
• Software\Microsoft\Windows NT\CurrentVersion\Windows
• Software\Microsoft\Windows NT\CurrentVersion\Windows

• .exe
• .com
• .pif
• .bat
• .cmd
• .scr

また、スパイウェアは、これらの実行中プロセスが確認されるレジストリキーを削除します。このレジストリキーを削除したあと、スパイウェアは、実行中プロセスの実行ファイルも削除します。

スパイウェアは、Luhnアルゴリズムを用い、VBScript内のクレジットカード番号を確認します。また、このアルゴリズムは、RAMメモリのスクラップ用の正規表現とともに利用されます。

• 0000000000000
• 00000000000000
• 000000000000000
• 0000000000000000
• 00000000000000000
• 000000000000000000
• 0000000000000000000
• 22222222222222222
• 6666666666666
• 8888888888888888
• 5488888888888888
• 5399999999999999
• 30044444444444
• 5577777777777777
• 5544444444444444
• 5488888888888888
• 36999999999999
• 36111111111111
• 4844777777777777
• 4844444444444444
• 341111111111111
• 347777777777777
• 62000000000000000
• 6200000000000000000
• 6222222222222222222
• 6244444444444444444
• 4744870016311111
• 8811111111111111111
• 8833333333333333333
• 88999999999999999
• 5544444444444444
• 5577777777777777
• 4111111111111111
• 4222222222222
• 4555555555555
• 499999999999999
• 4026444444444444
• 4026777777777777

スパイウェアは、以下のProcess IDを含むもの以外、すべての実行中プロセス内のトラックデータをスキャンします。

• System
• svchost.exe
• csrss.exe
• wininit.exe

スパイウェアは、以下の正規表現を利用して、トラックデータをスキャンします。

• \d{13,19}=\d{7}\w*\?