TSPY_DYRE.EA

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、特定のWebサイトにアクセスし、情報を送受信します。 スパイウェアは、実行後、自身を削除します。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %AppDataLocal%\{random filename}.exe (for Windows Vista and above)
• %Windows%\{random filename}.exe (for Windows XP and below)

(註：%AppDataLocal%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local" です。. %Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

スパイウェアは、感染コンピュータのOSに応じて以下のファイルを作成します。

• %System%\config\systemprofile\Application Data\bq5uzce1f3.dll (for Windows XP and below)
• %AppDataLocal%\bq5uzce1f3.dll (for Windows Vista and above)

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.. %AppDataLocal%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local" です。)

スパイウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• Global\pen3j3832h

スパイウェアは、以下のプロセスにコードを組み込みます。

• explorer.exe
• svchost.exe

自動実行方法

スパイウェアは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\ge
ImagePath = "%Windows%\{random filename}.exe"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\ge
DisplayName = "Google Update"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\ge
Start = "2"

スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\RunOnce
GoogleUpdate = "%AppDataLocal%\{random filename}.exe" (for Windows Vista and above)

スパイウェアは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\ge (for Windows XP and below)

他のシステム変更

スパイウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\SharedAccess\Parameters\
FirewallPolicy\FirewallRules
TCP Query User{GUID}%Windows%\explorer.exe = "v2.10|Action=Block|Active=TRUE|Dir=In|Protocol=6|Profile=Public|App=%Windows%\explorer.exe|Name=Windows Explorer|Desc=Windows Explorer|" (for Windows Vista and above)

スパイウェアは、以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Control\Lsa
LimitBlankPasswordUse = "0" (for Windows XP and below)

(註：変更前の上記レジストリ値は、「1」となります。)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Control\Terminal Server
fDenyTSConnections = "0" (for Windows XP and below)

(註：変更前の上記レジストリ値は、「1」となります。)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Control\Terminal Server
fSingleSessionPerUser = "0" (for Windows XP and below)

(註：変更前の上記レジストリ値は、「1」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
cval = "0" (for Windows XP and below)

(註：変更前の上記レジストリ値は、「1」となります。)

情報漏えい

スパイウェアは、以下の情報を収集します。

• Host Name
• Public IP Address
• Computer Name
• OS Version
• OS Platform
• User Accounts
• System Info(CPU, Memory, No. of Processors)
• Installed programs
• Services

その他

スパイウェアは、以下のWebサイトにアクセスしてインターネット接続を確認します。

• google.com
• microsoft.com

スパイウェアは、以下のWebサイトにアクセスして感染コンピュータのIPアドレスを収集します。

• http://icanhazip.com

スパイウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• {BLOCKED}.{BLOCKED}.223.146:4443
• {BLOCKED}.{BLOCKED}.145.138:4443
• {BLOCKED}.{BLOCKED}.65.224:4443
• {BLOCKED}.{BLOCKED}.224.143:4443
• {BLOCKED}.{BLOCKED}.194.108:4443
• {BLOCKED}.{BLOCKED}.224.118:4443
• {BLOCKED}.{BLOCKED}.231.42:4443
• {BLOCKED}.{BLOCKED}.247.133:4443
• {BLOCKED}.{BLOCKED}.75.159:4443
• {BLOCKED}.{BLOCKED}.131.104:4443
• {BLOCKED}.{BLOCKED}.249.18:443
• {BLOCKED}.{BLOCKED}.201.46:443
• {BLOCKED}.{BLOCKED}.154.139:4443
• {BLOCKED}.{BLOCKED}.236.26:4443
• {BLOCKED}.{BLOCKED}.236.249:4443
• {BLOCKED}.{BLOCKED}.239.63:4443
• {BLOCKED}.{BLOCKED}.69.94:4443
• {BLOCKED}.{BLOCKED}.191.222:443
• {BLOCKED}.{BLOCKED}.199.46:443
• {BLOCKED}.{BLOCKED}.19.156:443
• {BLOCKED}.{BLOCKED}.97.238:4443
• {BLOCKED}.{BLOCKED}.76.194:443
• {BLOCKED}.{BLOCKED}.114.244:4443
• {BLOCKED}.{BLOCKED}.178.70:443
• {BLOCKED}.{BLOCKED}.59.234:443
• {BLOCKED}.{BLOCKED}.100.179:443
• {BLOCKED}.{BLOCKED}.85.128:4443
• {BLOCKED}.{BLOCKED}.38.6:4443
• {BLOCKED}.{BLOCKED}.126.164:443
• {BLOCKED}.{BLOCKED}.134.145:4443
• {BLOCKED}.{BLOCKED}.134.166:4443
• {BLOCKED}.{BLOCKED}.61.31:443
• {BLOCKED}.{BLOCKED}.20.206:443
• {BLOCKED}.{BLOCKED}.230.100:4443
• {BLOCKED}.{BLOCKED}.197.166:4443
• {BLOCKED}.{BLOCKED}.25.136:4443
• {BLOCKED}.{BLOCKED}.48.175:443
• {BLOCKED}.{BLOCKED}.124.76:443
• {BLOCKED}.{BLOCKED}.191.206:4443
• {BLOCKED}.{BLOCKED}.179.70:4443
• {BLOCKED}.{BLOCKED}.220.102:4443
• {BLOCKED}.{BLOCKED}.197.77:4443
• {BLOCKED}.{BLOCKED}.2.228:443
• {BLOCKED}.{BLOCKED}.17.201:4443
• {BLOCKED}.{BLOCKED}.216.5:4443
• {BLOCKED}.{BLOCKED}.2.169:443
• {BLOCKED}.{BLOCKED}.61.197:443
• {BLOCKED}.{BLOCKED}.233.66:4443
• {BLOCKED}.{BLOCKED}.183.209:443
• {BLOCKED}.{BLOCKED}.67.254:443

スパイウェアは、実行後、自身を削除します。