TSPY_NEGASTEAL.YO

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。 スパイウェアは、リモートサイトから他のマルウェアまたはグレイウェアにダウンロードされ、コンピュータに侵入します。

スパイウェアは、自身（コンピュータに侵入して最初に自身のコピーを作成した ）を削除します。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、リモートサイトから以下のマルウェアまたはグレイウェアにダウンロードされ、コンピュータに侵入します。

• PDF_POWSHELL.B

インストール

スパイウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Application Data%\Java\JavaUpdtr.exe
• %User Temp%\tmpG{random}.tmp

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.. %User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

スパイウェアは、以下のプロセスを追加します。

• eventvwr.exe

自動実行方法

スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows NT\CurrentVersion\Windows
Load = %Application Data%\Java\JavaUpdtr.exe

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Java Updtr = %Application Data%\Java\JavaUpdtr.exe

HKEY_CURRENT_USER\Software\Classes\
mscfile\shell\open\
command
{default} = %System%\WindowsPowerShell\v1.0\powershell.exe Start-Process -FilePath "{Malware path and filename}" -wait"

他のシステム変更

スパイウェアは、以下のファイルを削除します。

• %Application Data%\Java\JavaUpdtr.exe:Zone.Identifier

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

スパイウェアは、以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System
EnableLUA = 0

(註：変更前の上記レジストリ値は、「1」となります。)

情報漏えい

スパイウェアは、以下の情報を収集します。

• User Name
• Computer Name
• IP Address
• OS Name
• OS Version Platform
• OS Version
• Processor Name
• Amount of Physical Memory
• Video Card Name
• Video Card Memory
• Screenshots
• Username and Password from the following applications:
  • Chrome
  • Firefox
  • Opera
  • Yandex
  • Internet Explorer
  • Safari
  • Sea Monkey
  • Comodo
  • Flock
  • CoolNovo
  • Chromium
  • Outlook
  • Thunderbird
  • FoxMail
  • OperaMail
  • PocoMail
  • Eudora
  • The Bat!
  • FileZilla
  • WS_FTP
  • WinSCP 2
  • CoreFTP
  • DynDNS
  • FlashFXP
  • Paltalk
  • Pidgin
  • Smart FTP
  • FTP Commander
  • No-IP
  • Internet Download Manager
  • JDownloader

情報収集

スパイウェアは、SMTPを用いて、自身が収集した情報を以下のEメールアドレスに送信します。

• {BLOCKED}atsontrans@gmail.com

その他

スパイウェアは、以下のWebサイトにアクセスして感染コンピュータのIPアドレスを収集します。

• http://checkip.dyndns.org

スパイウェアは、以下のファイルを作成します。

• %Application Data%\ScreenShot\screen.jpeg → screenshot

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

スパイウェアは、自身（コンピュータに侵入して最初に自身のコピーを作成した ）を削除します。