TSPY_KATES.SMR

スパイウェアは、特定のAPIをフックし、不正な活動を行います。スパイウェアは、DLLファイル "ws2_32.dll" 内の機能をフックし、データを傍受します。スパイウェアは、ユーザがFTPサイトにアクセスするのを待機し、ユーザがログイン時に使用したユーザ名およびパスワードの情報を収集します。

スパイウェアは、収集したデータをリモートIPアドレスへ送信します。スパイウェアは、特定の文字列を検索することによって、送信されるHTTPヘッダを監視します。スパイウェアは、収集したHTTPヘッダをリモートサイトへのHTTPヘッダの一部として送信します。ただし、情報公開日現在、このWebサイトにはアクセスできません。

スパイウェアは、特定の文字列を含むWebサイトをブロックします。スパイウェアは、特定のプロセスが実行中の場合、自身を削除します。

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、ワーム活動の機能を備えていません。

スパイウェアは、バックドア活動の機能を備えていません。

スパイウェアは、ダウンロードする機能を備えていません。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

自動実行方法

スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Drivers32
midi9 = "{malware path and file name} 0yAAAAAAAA"

スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Windows
AppInit_DLLs = "winmm.dll"

(註：変更前の上記レジストリ値は、「""」となります。)

他のシステム変更

スパイウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Windows
LoadAppInit_DLLs = "1"

感染活動

スパイウェアは、ワーム活動の機能を備えていません。

バックドア活動

スパイウェアは、バックドア活動の機能を備えていません。

ダウンロード活動

スパイウェアは、ダウンロードする機能を備えていません。

情報漏えい

スパイウェアは、DLLファイル "ws2_32.dll" の以下の機能をフックし、データを傍受します。

• connect
• send
• recv
• WSASend
• WSARecv

スパイウェアは、ユーザがFTPサイトにアクセスするのを待機し、ユーザがログイン時に使用したユーザ名およびパスワードの情報を収集します。

スパイウェアは、収集したデータを以下のIPアドレスへ送信します。

• {BLOCKED}.{BLOCKED}5.246.34

スパイウェアは、以下の文字列を検索することによって、送信されるHTTPヘッダを監視します。

• HTTP
• GET
• Host:
• Referer:

スパイウェアは、収集したHTTPヘッダを以下のURLへのHTTPヘッダの一部として送信します。

• http://{BLOCKED}.{BLOCKED}5.246.34/x/?{BLOCKED}xilnoasuedpwpsswtrbkvctwsmrul0

ただし、情報公開日現在、このWebサイトにはアクセスできません。

その他

スパイウェアは、以下のAPIをフックし、不正な活動を行います。

• NtOpenKey
• CreateProcessW
• ExitProcess

スパイウェアは、以下の文字列を含むWebサイトをブロックします。

• DaonolFix
• Anti
• Adob
• AVPU
• CAUp
• COMO
• Enig
• ESS
• LIVE
• Live
• McHT
• NOD3
• Nort
• Pand
• SpyS
• SUPE
• TMUF

スパイウェアは、以下のプロセスが実行中の場合、自身を削除します。

• IceSword
• Malwarebytes