TSPY_MIUREF.K

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。 スパイウェアは、リモートサイトから他の不正プログラムにダウンロードされ、コンピュータに侵入します。

スパイウェアは、ワーム活動の機能を備えていません。

スパイウェアは、バックドア活動の機能を備えていません。

スパイウェアは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、リモートサイトから以下の不正プログラムによりダウンロードされ、コンピュータに侵入します。

• JS_NEMUCOD.KXYZ
• JS_NEMUCOD.XYZD

インストール

スパイウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %AppDataLocal%\{random folder name}\{malware file name}.exe

(註：%AppDataLocal%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local" です。)

スパイウェアは、以下のファイルを作成します。

• %AppDataLocal%\{random folder name}\{GUID}

(註：%AppDataLocal%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local" です。)

スパイウェアは、以下のフォルダを作成します。

• %AppDataLocal%\{random folder name}

(註：%AppDataLocal%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local" です。)

スパイウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• {Malware Generated GUID}

自動実行方法

スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{random folder name} = "%AppDataLocal%\{random folder name}\{malware file name}.exe"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{random} = "%System%\regsvr32.exe %AppDataLocal%\{random folder}\{random file name}.dll" <-Created autostart for component

他のシステム変更

スパイウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\{name based on random folder}

スパイウェアは、インストールの過程で、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\{name based on random folder}
{GUID} = "{hex value data}"

感染活動

スパイウェアは、ワーム活動の機能を備えていません。

バックドア活動

スパイウェアは、バックドア活動の機能を備えていません。

ダウンロード活動

スパイウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %AppDataLocal%\{random folder name}\{random file name}.dll
• %AppDataLocal%\{random folder name}\{random file name}.txt
• %AppDataLocal%\{random folder name}\{random file name}.dat
• %AppDataLocal%\{random folder name}\{random file name}.idx
• %AppDataLocal%\{random folder name}\{random file name}.lck

(註：%AppDataLocal%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local" です。)

情報漏えい

スパイウェアは、以下の情報を収集します。

• Operating system version
• Device information
• System boot information
• Windows Management Instrumentation informations(BIOS,Video Controller,Display Configuration)
• Processor information

その他

スパイウェアは、以下のWebサイトにアクセスしてインターネット接続を確認します。

• http://www.microsoft.com

スパイウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• {BLOCKED}.{BLOCKED}.217.292:443
• {BLOCKED}.{BLOCKED}.4.68:443
• {BLOCKED}.{BLOCKED}.149.144:443
• {BLOCKED}.{BLOCKED}.80.172:443

スパイウェアが自身の不正活動を実行するためには、以下のコンポーネントが必要になります。

• {Malware Path}\setup.dat
• %Application Data%\{random folder name 2}\{random}.dat

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)