TSPY_FYSNA.A
Windows 2000, Windows Server 2003, Windows XP (32-bit, 64-bit), Windows Vista (32-bit, 64-bit), Windows 7 (32-bit, 64-bit)
マルウェアタイプ:
スパイウェア
破壊活動の有無:
なし
暗号化:
なし
感染報告の有無 :
はい
概要
スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。
スパイウェアは、ユーザ名およびパスワードといったオンラインバンキングに関連した個人情報を収集します。これにより、収集された情報は不正リモートユーザにより悪用される可能性があります。 スパイウェアは、ユーザのキー入力操作情報を記録し、情報を収集します。
スパイウェアは、実行後、自身を削除します。
詳細
侵入方法
スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。
インストール
スパイウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。
- %Common Startup%\spoolsv.exe
(註:%Common Startup%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\All Users\Start Menu\Programs\Startup"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\ProgramData\Microsoft\Windows\Start Menu\Programs\StartUp" です。.)
バックドア活動
スパイウェアは、コマンド&コントロール(C&C)サーバに以下の情報を通知します。
- http://{BLOCKED}jysrvwfgmb.onion
作成活動
スパイウェアは、以下のファイルを作成します。このファイルは、キー入力操作情報を収集するために利用されます。
- %User Temp%\system.log
(註:%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\<ユーザー名>\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\<ユーザ名>\AppData\Local\Temp" です。.)
情報漏えい
スパイウェアは、ユーザ名およびパスワードといったオンラインバンキングに関連した個人情報を収集します。これにより、収集された情報は不正リモートユーザにより悪用される可能性があります。
スパイウェアは、ユーザのキー入力操作情報を記録し、情報を収集します。
その他
スパイウェアは、以下のWebサイトにアクセスして感染コンピュータのIPアドレスを収集します。
- http://{BLOCKED}a.net/ip
スパイウェアは、実行後、自身を削除します。
スパイウェアは、以下のブランドより支払やクレジットカードの情報を収集します。
- IATA-ATA
- Diners
- AmericanExpress
- JCB
- Visa
- MasterCard
- Novus (Discovery Cardの以前のパートナー)
スパイウェアは、サーバの接続にTORクライアントを用います。
スパイウェアは、自宅や会社のアドレス、携帯番号、個人の肩書および組織での立場等の個人情報を収集します。
スパイウェアは、以下の正規表現をトラックデータをスキャンするためのパターンとして利用します。
- ([0-9]{13,19}[=D][0-9]{5,50})\?
- ([0-9]{13,19}[\^][A-Za-z\s]{0,30}[\/][[A-Za-z\s]{0,30}[\^]([0-9\s]{1,70})\?)
スパイウェアは、以下のURLクエリ文字列を利用し、HTTP POSTを介してデータを送信します。
sendlog.php
- name="logfile"
- file name="User Temp%\system.log"
recvdata.php
- rawdata={data}
- tmpdata={data}
- procdata={data}
対応方法
手順 1
Windows XP、Windows Vista および Windows 7 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。
手順 2
以下のファイルを検索し削除します。
- %User Temp%\system.log
手順 3
最新のバージョン(エンジン、パターンファイル)を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「TSPY_FYSNA.A」と検出したファイルはすべて削除してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。
ご利用はいかがでしたか? アンケートにご協力ください