TSPY_DYRE.B

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、Windowsのタスクスケジューラを用いて、「スケジュールされたタスク」を作成します。これにより、作成されたコピーが実行されます。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %AppDataLocal%\{random filename 1}.exe (for Windows Vista and above)
• %Windows%\{random filename 1}.exe (for Windows XP and below)

(註：%AppDataLocal%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local" です。. %Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

マルウェアは、Windowsのタスクスケジューラを用いて、「スケジュールされたタスク」を作成します。これにより、作成されたコピーが実行されます。

作成活動

マルウェアは、以下のファイルを作成します。

• %System%\config\systemprofile\Application Data\{random filename 2} (for Windows XP and below)
• %AppDataLocal%\{random filename 2} (for Windows Vista and above)

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.. %AppDataLocal%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local" です。)

その他

マルウェアは、以下の不正なWebサイトにアクセスします。

• {BLOCKED}.{BLOCKED}.116.240:443
• {BLOCKED}.{BLOCKED}.49.163:443
• {BLOCKED}.{BLOCKED}.247.133:4443
• {BLOCKED}.{BLOCKED}.21.168:4443
• {BLOCKED}.{BLOCKED}.22.227:443
• {BLOCKED}.{BLOCKED}.75.159:4443
• {BLOCKED}.{BLOCKED}.169.172:443
• {BLOCKED}.{BLOCKED}.122.42:443
• {BLOCKED}.{BLOCKED}.145.111:4443
• {BLOCKED}.{BLOCKED}.145.121:443
• {BLOCKED}.{BLOCKED}.214.50:443
• {BLOCKED}.{BLOCKED}.19.156:443
• {BLOCKED}.{BLOCKED}.88.78:443
• {BLOCKED}.{BLOCKED}.196.26:443
• {BLOCKED}.{BLOCKED}.199.11:443
• {BLOCKED}.{BLOCKED}.214.12:443
• {BLOCKED}.{BLOCKED}.97.238:4443
• {BLOCKED}.{BLOCKED}.54.6:4443
• {BLOCKED}.{BLOCKED}.55.101:4443
• {BLOCKED}.{BLOCKED}.12.19:4443
• {BLOCKED}.{BLOCKED}.15.194:4443
• {BLOCKED}.{BLOCKED}.67.128:443
• {BLOCKED}.{BLOCKED}.203.9:443
• {BLOCKED}.{BLOCKED}.243.172:4443
• {BLOCKED}.{BLOCKED}.249.171:4443
• {BLOCKED}.{BLOCKED}.173.18:4443
• {BLOCKED}.{BLOCKED}.100.179:443
• {BLOCKED}.{BLOCKED}.85.128:4443
• {BLOCKED}.{BLOCKED}.51.81:443
• {BLOCKED}.{BLOCKED}.53.233:4443
• {BLOCKED}.{BLOCKED}.94.197:4443
• {BLOCKED}.{BLOCKED}.195.53:4443
• {BLOCKED}.{BLOCKED}.145.138:4443
• {BLOCKED}.{BLOCKED}.50.85:443
• {BLOCKED}.{BLOCKED}.191.206:4443
• {BLOCKED}.{BLOCKED}.204.74:443
• {BLOCKED}.{BLOCKED}.2.228:443
• {BLOCKED}.{BLOCKED}.17.76:4443
• {BLOCKED}.{BLOCKED}.39.126:443
• {BLOCKED}.{BLOCKED}.224.143:4443
• {BLOCKED}.{BLOCKED}.194.108:4443
• {BLOCKED}.{BLOCKED}.4.90:4443
• {BLOCKED}.{BLOCKED}.106.26:443
• {BLOCKED}.{BLOCKED}.115.117:443
• {BLOCKED}.{BLOCKED}.19.13:443
• {BLOCKED}.{BLOCKED}.224.118:4443
• {BLOCKED}.{BLOCKED}.186.146:4443
• {BLOCKED}.{BLOCKED}.231.42:4443
• {BLOCKED}.{BLOCKED}.44.38:4443