TSPY_DYRE.SLU

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。 スパイウェアは、他のマルウェアに作成され、コンピュータに侵入します。

スパイウェアは、特定のWebサイトにアクセスし、情報を送受信します。 スパイウェアは、実行後、自身を削除します。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、以下のマルウェアに作成され、コンピュータに侵入します。

• TROJ_UPATRE.YYSLU

インストール

スパイウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %AppDataLocal%\{random filename}.exe (for Windows Vista and above)
• %Windows%\{random filename}.exe (for Windows XP and below)

(註：%AppDataLocal%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local" です。. %Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

スパイウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• Global\u1nyj3rt20

スパイウェアは、以下のプロセスにコードを組み込みます。

• explorer.exe
• svchost.exe

自動実行方法

スパイウェアは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\googleupdate
ImagePath = "%Windows%\{random filename}.exe"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\googleupdate
DisplayName = "Google Update"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\googleupdate
Start = "2"

スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
GoogleUpdate = "%AppDataLocal%\{random filename}.exe" (for Windows Vista and above)

他のシステム変更

スパイウェアは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\googleupdate (for Windows XP and below)

スパイウェアは、以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Control\Lsa
LimitBlankPasswordUse = "0"

(註：変更前の上記レジストリ値は、「1」となります。)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Control\Terminal Server
fDenyTSConnections = "0"

(註：変更前の上記レジストリ値は、「1」となります。)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Control\Terminal Server
fSingleSessionPerUser = "0"

(註：変更前の上記レジストリ値は、「1」となります。)

作成活動

スパイウェアは、以下のファイルを作成します。

• %System%\config\systemprofile\Application Data\ea1bw72e0f4.dll (for Windows XP and below)
• %AppDataLocal%\ea1bw72e0f4.dll (for Windows Vista and above)

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.. %AppDataLocal%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local" です。)

情報漏えい

スパイウェアは、以下の情報を収集します。

• Host Name
• Public IP Address
• Computer Name
• OS Version
• OS Platform
• User Accounts
• System Info(CPU, Memory, No. of Processors)
• Installed programs
• Services

その他

スパイウェアは、以下のWebサイトにアクセスしてインターネット接続を確認します。

• google.com
• microsoft.com

スパイウェアは、以下のWebサイトにアクセスして感染コンピュータのIPアドレスを収集します。

• http://icanhazip.com

スパイウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• http://{BLOCKED}.{BLOCKED}.199.58:4443
• http://{BLOCKED}.{BLOCKED}.63.98:443
• http://{BLOCKED}.{BLOCKED}.194.188:4443
• http://{BLOCKED}.{BLOCKED}.126.8:4443
• http://{BLOCKED}.{BLOCKED}.201.9:443
• http://{BLOCKED}.{BLOCKED}.10.23:443
• http://{BLOCKED}.{BLOCKED}.152.131:443
• http://{BLOCKED}.{BLOCKED}.33.98:443
• http://{BLOCKED}.{BLOCKED}.89.141:443
• http://{BLOCKED}.{BLOCKED}.190.84:443
• http://{BLOCKED}.{BLOCKED}.191.213:443
• http://{BLOCKED}.{BLOCKED}.206.204:443
• http://{BLOCKED}.{BLOCKED}.129.153:4443
• http://{BLOCKED}.{BLOCKED}.129.218:4443
• http://{BLOCKED}.{BLOCKED}.135.106:4443
• http://{BLOCKED}.{BLOCKED}.83.218:4443
• http://{BLOCKED}.{BLOCKED}.67.21:443
• http://{BLOCKED}.{BLOCKED}.67.211:443
• http://{BLOCKED}.{BLOCKED}.90.33:443
• http://{BLOCKED}.{BLOCKED}.81.96:4443
• http://{BLOCKED}.{BLOCKED}.14.89:443
• http://{BLOCKED}.{BLOCKED}.178.154:443
• http://{BLOCKED}.{BLOCKED}.151.10:443
• http://{BLOCKED}.{BLOCKED}.73.151:4443
• http://{BLOCKED}.{BLOCKED}.170.118:443
• http://{BLOCKED}.{BLOCKED}.172.36:443
• http://{BLOCKED}.{BLOCKED}.76.44:4443
• http://{BLOCKED}.{BLOCKED}.50.169:443
• http://{BLOCKED}.{BLOCKED}.51.25:443
• http://{BLOCKED}.{BLOCKED}.60.225:443
• http://{BLOCKED}.{BLOCKED}.61.13:443
• http://{BLOCKED}.{BLOCKED}.15.70:443
• http://{BLOCKED}.{BLOCKED}.96.30:443
• http://{BLOCKED}.{BLOCKED}.97.238:443
• http://{BLOCKED}.{BLOCKED}.228.144:443
• http://{BLOCKED}.{BLOCKED}.166.113:443
• http://{BLOCKED}.{BLOCKED}.61.101:443
• http://{BLOCKED}.{BLOCKED}.144.195:4443
• http://{BLOCKED}.{BLOCKED}.235.48:443
• http://{BLOCKED}.{BLOCKED}.34.137:443
• http://{BLOCKED}.{BLOCKED}.219.35:443
• http://{BLOCKED}.{BLOCKED}.54.22:443
• http://{BLOCKED}.{BLOCKED}.55.12:443
• http://{BLOCKED}.{BLOCKED}.55.122:443
• http://{BLOCKED}.{BLOCKED}.75.75:4443
• http://{BLOCKED}.{BLOCKED}.102.70:443
• http://{BLOCKED}.{BLOCKED}.154.243:443
• http://{BLOCKED}.{BLOCKED}.194.154:443

スパイウェアは、実行後、自身を削除します。