TSPY_ISPY.QAM

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、感染コンピュータ上の特定の情報を収集します。 スパイウェアは、Ｅメールアカウント情報を収集します。 スパイウェアは、特定のソフトウェアのCDキー、シリアルナンバーもしくはアプリケーションのプロダクトIDを収集します。収集された情報は、それら情報を入手したサイバー犯罪者に悪用される恐れがあります。 スパイウェアは、特定のオンラインゲームに関連するユーザ名やパスワードといった個人情報を収集します。 スパイウェアは、ユーザのキー入力操作情報を記録し、情報を収集します。

スパイウェアは、仮想環境内で実行されると、自身の活動を終了します。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、以下のファイルを作成します。

• %User Temp%\aut{random 4 characters}.tmp <- temporary encrypted config file, deleted afterwards
• %User Temp%\{random} <- config file, deleted afterwards
• %User Profile%\{random folder name}\dMJPa.au3 <- autoit script containing the malicious code

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.. %User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞" です。.)

スパイウェアは、以下のファイルを作成し実行します。

• %User Profile%\{random folder name}\AhbI.exe <- AutoIt3.exe to execute the malicious .au3 file
• %User Temp%\IXP000.TMP\HgLWcIgMEX.exe <- also detected as TSPY_ISPY.QAM, deleted after execution

(註：%User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞" です。.. %User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

スパイウェアは、以下のプロセスを追加します。

• RegSvcs.exe
• vbc.exe

スパイウェアは、以下のフォルダを作成します。

• %User Temp%\IXP000.TMP <- deleted after installation routine
• %User Profile%\{random folder name}

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.. %User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞" です。.)

スパイウェアは、以下のフォルダの属性をシステムフォルダおよび隠しフォルダに設定します。これにより、自身のコンポーネントの検出および削除を避けます。

• %User Profile%\{random folder name}

(註：%User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞" です。.)

スパイウェアは、感染コンピュータ上のメモリに以下のプロセスを確認すると、自身を終了します。

• VboxTray.exe
• vmtoolsd.exe
• SandboxieRpcSs.exe

自動実行方法

スパイウェアは、Windows起動時に自動実行されるよう＜スタートアップ＞フォルダ内に以下のファイルを作成します。

• %User Startup%\GCPdiWVeAhEZ.lnk <- points to the loader of the malicious .au3 file

(註：%User Startup%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞\Start Menu\Programs\Startup" 、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、" C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup" です。.)

作成活動

スパイウェアは、以下のファイルを作成します。

• %User Temp%\tmp{random 4 characters}.tmp <- contains CD and/or Product Keys gathered, deleted afterwards
• %User Temp%\{GUID} <- contains the path for RegSvcs.exe

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

情報漏えい

スパイウェアは、感染コンピュータ上の以下の情報を収集します。

• Beyluxe Messenger Credentials
• Webcam Snapshots and Screen captures
  It uploads the images to the following image hosting website:
  • http://{BLOCKED}s.im/api?upload&format=xml

スパイウェアは、Ｅメールアカウント情報を収集します。

スパイウェアは、特定のソフトウェアのCDキー、シリアルナンバーもしくはアプリケーションのプロダクトIDを収集します。

スパイウェアは、以下のオンラインゲームに関連するユーザ名やパスワードといった個人情報を収集します。

• MineCraft

スパイウェアは、上述のFTPクライアントおよびファイルマネージャのいずれかから、以下のアカウント情報を収集します。

• CoreFTP
• FileZilla

スパイウェアは、以下のブラウザから、ユーザ名、パスワードやホスト名といった保存された情報を収集します。

• Google Chrome
• Mozilla Firefox
• Apple Safari
• Opera Browser

スパイウェアは、ユーザのキー入力操作情報を記録し、情報を収集します。

情報収集

スパイウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

• http://ugonna.{BLOCKED}g.com/Panel/api
  Note: contains the following data in the body:
  • Secret={Unique ID}&HWID={Hardware ID}&Name={Computer Name}&Country={Language}&OS={OS version}&Verion={Malware Version}&Type={Type of Information sent}&Data={Data to be sent}
• http://{BLOCKED}ay.iinfo/Products/iPsyKelogger/Server/
  Note: contains the following data in the body:
  • gate=stub&token={value}&name={base64 encoded data}

その他

スパイウェアは、以下のWebサイトにアクセスして感染コンピュータのIPアドレスを収集します。

• http://www.checkip.dyndns.org/

スパイウェアは、仮想環境内で実行されると、自身の活動を終了します。

スパイウェアが作成する以下のファイルは、一時的に暗号化された環境設定ファイルです。このファイルは、後で削除されます。

• %User Temp%\aut{random 4 characters}.tmp

スパイウェアが作成する以下のファイルは、環境設定ファイルです。このファイルは、後で削除されます。

• %User Temp%\{random}

スパイウェアが作成する以下のファイルは、不正なコードを含むAutoitスクリプトです。

• %User Profile%\{random folder name}\dMJPa.au3

スパイウェアが作成し実行する以下のファイルは、不正なAU3ファイルを実行する”AutoIt3.exe”です。

• %User Profile%\{random folder name}\AhbI.exe

スパイウェアが作成し実行する以下のファイルは、「TSPY_ISPY.QAM」として検出されます。このファイルは、後で削除されます。

• %User Temp%\IXP000.TMP\HgLWcIgMEX.exe

スパイウェアが作成する以下のフォルダは、インストール活動後に削除されます。

• %User Temp%\IXP000.TMP

スパイウェアは、Windows起動時に自動実行されるよう＜スタートアップ＞フォルダ内に以下のファイルを作成します。このファイルは、不正なAU3ファイルのローダに誘導します。

• %User Startup%\GCPdiWVeAhEZ.lnk

スパイウェアが作成する以下のファイルは、収集したCDキーおよびプロダクトキーを含みます。このファイルは、後で削除されます。

• %User Temp%\tmp{random 4 characters}.tmp

スパイウェアが作成する以下のファイルは、”RegSvcs.exe”のパスを含みます。

スパイウェアは、感染コンピュータ上の以下の情報を収集します。