TSPY_DRIDEX.WQJ

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。 スパイウェアは、リモートサイトから他の不正プログラムにダウンロードされ、コンピュータに侵入します。

スパイウェアは、特定のWebサイトにアクセスし、情報を送受信します。 スパイウェアは、特定のファイルの読み込み、および実行に利用されます。 スパイウェアは、実行後、自身を削除します。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、リモートサイトから以下の不正プログラムによりダウンロードされ、コンピュータに侵入します。

• TROJ_WMSHELL.A

スパイウェアは、以下のリモートサイトからダウンロードされ、コンピュータに侵入します。

• http://{BLOCKED}hurt.com.pl/js/bin.exe

インストール

スパイウェアは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

• %AppDataLocal%\edg{number}.exe
• %AppDataLocal%\edg{number}.tmp - deleted afterwards

(註：%AppDataLocal%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local" です。)

スパイウェアは、以下のプロセスにコードを組み込みます。

• explorer.exe

自動実行方法

スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\ Software\Microsoft\
Windows\CurrentVersion\Run
wmnotify = "rundll32.exe %Application Data%\{number}.tmp NotifierInit"
This autorun registry is added before the system shuts down

他のシステム変更

スパイウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
CLSID\{GUID}\ShellFolder
{random} = "{encrypted}"

ダウンロード活動

スパイウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %AppDataLocal%\{number}.tmp - TSPY_DRIDEX.WQJ
  This file is moved to %Application Data%\{number}.tmp before the system shuts down

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

情報漏えい

スパイウェアは、以下の情報を収集します。

• username
• computer name
• installation date

その他

スパイウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• {BLOCKED}.{BLOCKED}.184.70:8080
• {BLOCKED}.{BLOCKED}.89.83:8080
• {BLOCKED}.{BLOCKED}.157.176:8080

スパイウェアは、以下のファイルの読み込み、および実行に利用されます。

• %AppDataLocal%\{number}.tmp
  executed using the following command:
  rundll32.exe %AppDataLocal%\{number}.tmp,NotifierInit

(註：%AppDataLocal%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local" です。)

スパイウェアは、実行後、自身を削除します。