TSPY_LIMITAIL.RAC

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェア マルウェアは、自身（コンピュータに侵入して最初に自身のコピーを作成した スパイウェア ）を削除します。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

• %Application Data%\Microsoft\ProfScv.exe
• %User Profile%\Templates\takshost.exe

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.. %User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞" です。.)

スパイウェアは、以下のフォルダを作成します。

• %User Temp%\screens

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

自動実行方法

スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Application Experience = %Application Data%\Microsoft\AeLookupSvi.exe

他のシステム変更

スパイウェアは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\Software\Microsoft\
ESENT\Process\{initial malware file name w/o extension}

HKEY_LOCAL_MACHINE\Software\Microsoft\
ESENT\Process\ProfSvc

HKEY_LOCAL_MACHINE\Software\Microsoft\
ESENT\Process\{initial malware file name w/o extension}\
DEBUG

HKEY_LOCAL_MACHINE\Software\Microsoft\
ESENT\Process\ProfSvc\
DEBUG

HKEY_LOCAL_MACHINE\Software\Microsoft\
ESENT\Process\ProfSvc

HKEY_LOCAL_MACHINE\Software\Microsoft\
ESENT\Process\{initial malware file name}\
DEBUG

HKEY_LOCAL_MACHINE\Software\Microsoft\
ESENT\Process\takshost

HKEY_LOCAL_MACHINE\Software\Microsoft\
ESENT\Process\takshost\
DEBUG

スパイウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\Software\Microsoft\
ESENT\Process\ProfSvc\
DEBUG
Trace Level = ""

HKEY_LOCAL_MACHINE\Software\Microsoft\
ESENT\Process\takshost\
DEBUG
Trace Level = ""

HKEY_LOCAL_MACHINE\Software\Microsoft\
ESENT\Process\{initial malware file name w/o extension}\
DEBUG
Trace Level = ""

作成活動

スパイウェアは、以下のファイルを作成します。

• %Application Data%\Microsoft\AeLookupSvi.exe
• %Application Data%\pid.txt
• %Application Data%\pidloc.txt
• %User Temp%\screens\screenshot{number}.jpeg

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.. %User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

その他

スパイウェアは、以下の不正なWebサイトにアクセスします。

• mail.{BLOCKED}tler.com

スパイウェア は、自身（コンピュータに侵入して最初に自身のコピーを作成した スパイウェア ）を削除します。