TSPY_OMANEAT.BZR

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、特定のWebサイトにアクセスし、情報を送受信します。

スパイウェアは、ユーザのキー入力操作情報を記録し、情報を収集します。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、以下のプロセスに自身を組み込み、システムのプロセスに常駐します。

• explorer.exe
• svchost.exe

スパイウェアは、以下のフォルダを作成します。

• %Temp%\RarSFX0 ← containing subdirectories and files
• %System Root%\{random numbers}
• %System Root%\{random numbers}\{random numbers}
  example: C:\323331\323234

(註：%Temp%フォルダは、一時的にファイルが保存されるフォルダで、いずれのオペレーティングシステム(OS)でも通常、 "C:\Windows\Temp" です。.. %System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.)

自動実行方法

スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Microsoft\Windows\
CurrentVersion\RunOnce
System Monitor = "%System Root%\{random numbers}\sysmon.exe"

HKEY_CURRENT_USER\Microsoft\Windows NT\
CurrentVersion\Winlogon
shell = 'explorer,"%System Root%\{random numbers}\sysmon.exe"

他のシステム変更

スパイウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software
{base64 encoded values} = {base64 encoded values}

バックドア活動

スパイウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• alex88.{BLOCKED}o.com

作成活動

スパイウェアは、以下のファイルを作成します。

• %User Temp%\Photoshop CS3 Portable.exe
• %System Root%\{random numbers}\{month}-{day}-{year}.txt ← log
• %System Root%\{random numbers}\sysmon.exe ← copy of itself
• %Temp%\{malware name}

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.. %System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.. %Temp%フォルダは、一時的にファイルが保存されるフォルダで、いずれのオペレーティングシステム(OS)でも通常、 "C:\Windows\Temp" です。.)

情報漏えい

スパイウェアは、ユーザのキー入力操作情報を記録し、情報を収集します。