TSPY_LDPINCH.CES

スパイウェアは、ユーザ名およびパスワードといったオンラインバンキングに関連した個人情報を収集します。これにより、収集された情報は不正リモートユーザにより悪用される可能性があります。 スパイウェアは、特定の銀行および金融機関のWebサイトで利用されるユーザ名やパスワードなどの個人情報を収集します。

インストール

スパイウェアは、以下のファイルを作成します。

• %Application Data%\{random1}\{random}.exe
• %Application Data%\{random2}\{random}.yxu

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

スパイウェアは、以下のフォルダの属性をシステムフォルダおよび隠しフォルダに設定します。これにより、自身のコンポーネントの検出および削除を避けます。

• %Application Data%\{random1}
• %Application Data%\{random2}

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

スパイウェアは、以下のプロセスに自身を組み込み、システムのプロセスに常駐します。

• explorer.exe

自動実行方法

スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{830000F6-03C9-FE66-4819-B28B73E4D6D3} = %Application Data%\{random1}\{random}.exe

ダウンロード活動

スパイウェアは、以下のWebサイトにアクセスし、ファイルをダウンロードします。

• http://{BLOCKED}balk.com/jop/cbub.doc

情報漏えい

スパイウェアは、ユーザ名およびパスワードといったオンラインバンキングに関連した個人情報を収集します。これにより、収集された情報は不正リモートユーザにより悪用される可能性があります。

スパイウェアは、Webサイトにアクセスしてファイルをダウンロードします。ダウンロードされたファイルには、自身のコピーの更新版ファイルのダウンロード元および収集した情報の送信先が記載されています。なお、上記でダウンロードされたファイルは、環境設定ファイルで、このスパイウェアが情報収集の際に対象とする以下の金融関連Webサイトのリストを含んでいます。

• !*.microsoft.com/*
• !http://*myspace.com*
• !http://*odnoklassniki.ru/*
• !http://vkontakte.ru/*
• @*/atl.osmp.ru/*
• @*/login.osmp.ru/*
• https://ajax.googleapis.com/ajax/libs/yui/2.8.1/build/animation/animation-min.js
• https://ajax.googleapis.com/ajax/libs/yui/2.8.1/build/container/assets/skins/sam/container.css
• https://ajax.googleapis.com/ajax/libs/yui/2.8.1/build/container/container-min.js
• https://ajax.googleapis.com/ajax/libs/yui/2.8.1/build/cookie/cookie-min.js
• https://ajax.googleapis.com/ajax/libs/yui/2.8.1/build/dragdrop/dragdrop-min.js
• https://ajax.googleapis.com/ajax/libs/yui/2.8.1/build/selector/selector-min.js
• https://ajax.googleapis.com/ajax/libs/yui/2.8.1/build/yahoo-dom-event/yahoo-dom-event.js
• https://banking.*/cgi/_euueberweisung.cgi*
• https://banking.*/cgi/_sepaueberweisung.cgi*
• https://banking.*/cgi/_ueberweisung.cgi*
• https://banking.*/cgi/anfang.cgi*
• https://banking.*/cgi/euuebereintrag.cgi*
• https://banking.*/cgi/euueberfrage.cgi*
• https://banking.*/cgi/euueberweisung.cgi*
• https://banking.*/cgi/finanzstatus.cgi*
• https://banking.*/cgi/login.cgi*
• https://banking.*/cgi/sepauebereintrag.cgi*
• https://banking.*/cgi/sepaueberfrage.cgi*
• https://banking.*/cgi/sepaueberweisung.cgi*
• https://banking.*/cgi/uebereintrag.cgi*
• https://banking.*/cgi/ueberfrage.cgi*
• https://banking.*/cgi/ueberweisung.cgi*
• https://banking.*/cgi/umswahl.cgi*
• https://banking.sparda.de/portalstatic/spc/pix/table_thead_th.gif
• https://banking.sparda.de/wps/myportal/*
• https://banking.sparda.de/wps/sparda-classic-banking.jsp?blz=*
• https://finanzportal.fiducia.de*
• https://securety-authschutz.com/administrff/fffidu/script.js
• https://securety-authschutz.com/administrff/ffspark2/_euueberweisung.js
• https://securety-authschutz.com/administrff/ffspark2/_sepaueberweisung.js
• https://securety-authschutz.com/administrff/ffspark2/_ueberweisung.js
• https://securety-authschutz.com/administrff/ffspark2/anfang.js
• https://securety-authschutz.com/administrff/ffspark2/euuebereintrag.js
• https://securety-authschutz.com/administrff/ffspark2/euueberfrage.js
• https://securety-authschutz.com/administrff/ffspark2/euueberweisung.js
• https://securety-authschutz.com/administrff/ffspark2/finanzstatus.js
• https://securety-authschutz.com/administrff/ffspark2/login.js
• https://securety-authschutz.com/administrff/ffspark2/sepauebereintrag.js
• https://securety-authschutz.com/administrff/ffspark2/sepaueberfrage.js
• https://securety-authschutz.com/administrff/ffspark2/sepaueberweisung.js
• https://securety-authschutz.com/administrff/ffspark2/uebereintrag.js
• https://securety-authschutz.com/administrff/ffspark2/ueberfrage.js
• https://securety-authschutz.com/administrff/ffspark2/ueberweisung.js
• https://securety-authschutz.com/administrff/ffspark2/umswahl.js
• https://www.gruposantander.es/*

なお、このファイルの内容である監視Webサイトのリストは、常時変更されます。

スパイウェアは、以下の銀行もしくは金融機関で利用される個人情報を収集します。

• ANZ
• Fiducia
• Microsoft
• Myspace
• OSPM
• Odnoklassniki
• Santander
• Vkontakte

情報収集

スパイウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

• http://{BLOCKED}balk.com/beautyff/gate.php

その他

このスパイウェアのコードから、スパイウェアは、以下の機能を備えています。

• It arrives as a file downloaded from the following URL: http://{BLOCKED}balk.com/jop/bub.exe

解析の結果、スパイウェアによるバックドア活動は確認されませんでした。

ハッシュ値情報

スパイウェアは、以下のMD5ハッシュ値を含んでいます。

• 62f0d12a56b62673f835d6c7b8faf995

スパイウェアは、以下のSHA1ハッシュ値を含んでいます

• eb596cb92ecc52a409a47073ffc9aa3ca88719df