TSPY_NACTAD.A

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、ワーム活動の機能を備えていません。

スパイウェアは、バックドア活動の機能を備えていません。

スパイウェアは、特定のWebサイトにアクセスし、情報を送受信します。 ただし、情報公開日現在、このWebサイトにはアクセスできません。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、異なるファイル名を用いて以下のフォルダ内に自身のコピーを作成します。

• %Program Data%\{reversed username}Bit\{reversed username}Bit.exe

スパイウェアは、以下のファイルを作成します。

• %User Temp%\urahkroXnu-deleted after use
• %User Temp%\inc12-also detected by Trend Micro as TSPY_NACTAD.A
• %User Temp%\1jh6wpsxGr-deleted after use
• %User Temp%\{random number 2}-detected by Trend Micro as TROJ_NACTAD.A
• %User Temp%\{random number 1}-detected by Trend Micro as TROJ_NACTAD.A

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

スパイウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• 09dqw09cum208chasiodj

自動実行方法

スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
WinDefense = "%Program Data%\{reversed username}Bit\{reversed username}Bit.exe"

他のシステム変更

スパイウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
ExtendedUIHoverTime = 20000

感染活動

スパイウェアは、ワーム活動の機能を備えていません。

バックドア活動

スパイウェアは、バックドア活動の機能を備えていません。

その他

スパイウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• {BLOCKED}k.com:82
• http://www.{BLOCKED}sir2.dominiotemporario.com/grava/grava.php

スパイウェアは、以下のファイルの属性を隠しファイルおよびシステムファイル属性に設定します。

• {malware path and name}.exe
• %Program Data%\{reversed username}Bit\{reversed username}Bit.exe

ただし、情報公開日現在、このWebサイトにはアクセスできません。

スパイウェアが作成する以下のファイルは、「TSPY_NACTAD.A」として検出されます。

• %User Temp%\inc12
• %User Temp%\{random number 2}
• %User Temp%\{random number 1}

スパイウェアは、自身の新しいインスタンスを作成し、"%User Temp%\inc12"を新たに作成したプロセスに組み込みます。

スパイウェアは、以下の仮想環境で実行されていることが確認された場合、自身を終了します。

• VMware
• Virtual PC
• Virtual Box

スパイウェアは、"Wine"で実行されている場合、自身を終了します("Wine"は、エミュレータではありません)。

スパイウェアは、セキュリティ対策のインスタンスを確認します。

スパイウェアは、以下へのGoogle Chromeのtargetショートカットを変更します。

• "{path to Google Chrome executable file}" --force-renderer-accessibility

GmailやHotmailにログインすると、スパイウェアは以下のエラーメッセージを表示します。

前述のエラー・メッセージは以下のような意味になります。

Webサイトはメンテナンス中で、Internet Explorer（IE）のスタートページにのみアクセスできます。スタートページにアクセスしますか。
はい。いいえ

ユーザは、どちらを選んでも、IEを利用してログインページへ誘導されます。

スパイウェアは、以下のファイルを検索してEメールアドレスを収集します。

• *.dbx
• *.wab
• *.mbx
• *.mai
• *.eml
• *.tbb
• *.mbox

スパイウェアは、以下の情報を収集します。

• 以下に使用されるEメールおよび銀行の認証情報
  • Hotmail
  • Gmail
  • Serasa Experian
  • Banco do Brasil
  • Itau BBA
  • Bradesco
  • UOL
  • Santander Empresarial
  • Sicredi
• コンピュータに保存してあるEメールアドレス

マルウェアは、ルートキット機能を備えていません。

マルウェアは、脆弱性を利用した感染活動を行いません。