TSPY_NEGASTEAL.A

スパイウェアは、リモートサイトから他のマルウェアまたはグレイウェアにダウンロードされ、コンピュータに侵入します。

侵入方法

スパイウェアは、リモートサイトから以下のマルウェアまたはグレイウェアにダウンロードされ、コンピュータに侵入します。

• W2KM_DONOFF.YBC

インストール

スパイウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Application Data%\Java\JavaUpdtr.exe

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

スパイウェアは、以下のフォルダを作成します。

• %Application Data%\Java

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

自動実行方法

スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows NT\CurrentVersion\Windows
Load = %Application Data%\Java\JavaUpdtr.exe

バックドア活動

スパイウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• www.{BLOCKED}esla.com
  Type of data sent:
  • type={0}&hwid={1}&time={2}&pcname={3}&logdata={4}&screen={5}&ipadd={6}&webcam_link={7}&client={8}&link={9}&username={10}&password={11}&screen_link={12}&site_username={13}
    
    where:
    0 is a command which can be:
    webcam - send images caught by webcam to C&C
    screenshots - send screenshots to C&C
    keylog - send keystroke logs to C&C
    update - update the keylogger software
    info - send machine information to C&C
    uninstall - uninstall binary
    passwords - send stolen password to C&C
    

  情報漏えい

  スパイウェアは、以下の情報を収集します。

  • Screenshots
  • Webcam capture
  • Keystrokes including clipboards
  • Steals password from:
    • Chrome
    • Opera
    • Yandex
    • Firefox
    • Internet Explorer
    • Safari
    • SeaMonkey
    • Comodo
    • Coolnovo
    • Chromium
    • Flock
    • Outlook
    • Thunderbird
    • TheBat!
    • PocoMail
    • Eudora
    • FoxMail
    • Opera Mail
    • FileZilla
    • WinSCP
    • FlashFXP
    • CoreFTP
    • FTPCommander
    • SmartFTP
    • WS_FTP
    • Paltalk
    • Internet Download Manager
    • JDownloader
    • Pidgin
    • NO-IP
    • DynDNS

  その他

  スパイウェアは、以下のWebサイトにアクセスして感染コンピュータのIPアドレスを収集します。

  • http://checkip.{BLOCKED}s.org/