TSPY_RANBYUS.USP

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、特定の銀行および金融機関のWebサイトで利用されるユーザ名やパスワードなどの個人情報を収集します。 スパイウェアは、ユーザのキー入力操作情報を記録し、情報を収集します。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %System%\machineupper32.exe
• %User Temp%\machineupper32.exe

(註：%System%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では "C:\Windows\System32" です。. %User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

スパイウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• 87b3c64lkj48gd

スパイウェアは、以下のプロセスに自身を組み込み、システムのプロセスに常駐します。

• svchost.exe
• explorer.exe

スパイウェアは、以下のプロセスにコードを組み込みます。

• BBClient.exe
• ContactNG.exe
• UniStream.exe
• bankcl.exe
• bclient.exe
• bcloader.exe
• bk.exe
• cbmain.exe
• cbsmain.dll
• cbsmain.exe
• clbank.exe
• client.exe
• client7.exe
• clmain.exe
• clntw32.exe
• el_cli.exe
• elbank.exe
• firefox.exe
• iexplore.exe
• inbank-start-ff.exe
• info.exe
• intpro.exe
• ip-client.exe
• iscc.exe
• java.exe
• javaw.exe
• kb_cli.exe
• loadmain.exe
• ntvdm.exe
• oncbcli.exe
• opera.exe
• putty.exe
• rclient.exe
• safari.exe
• selva_copy.exe
• sgbclient.exe
• startclient7.exe
• tiny.exe
• translink.exe
• wclnt.exe
• webmoney.exe

自動実行方法

スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
Explorer\Run
Windows Debugger 32 = "%System%\machineupper32.exe"

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Run
Windows Debugger 32 = "%System%\machineupper32.exe"

他のシステム変更

スパイウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\BIFIT

HKEY_CURRENT_USER\Software\Microsoft\
Windows NT\CurrentVersion\Winlogon
SysDebug32 = "{encrypted values}"

情報漏えい

スパイウェアは、以下の銀行もしくは金融機関で利用される個人情報を収集します。

• https://ibank.alfabank.ru

スパイウェアは、ユーザのキー入力操作情報を記録し、情報を収集します。

情報収集

スパイウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

• http://www.{BLOCKED}r.su/profit_new2/index.php?id={OS version and generated hash}&session={value}&v={value}&name={string}&mj={Major OS version}&mi={Minor OS version}&pt={OS product type}&b={OS build}&dc={32/64}&av={value}

その他

スパイウェアは、以下のプロセスの存在を確認します。

• ashdisp.exe
• ashmailsv.exe
• ashserv.exe
• ashwebsv.exe
• aswupdsv.exe
• avconsol.exe
• avfwsvc.exe
• avgnt.exe
• avguard.exe
• avmailc.exe
• avp.exe
• avsynmgr.exe
• avwebgrd.exe
• cfp.exe
• cmdagent.exe
• drweb.exe
• ekrn.exe
• equi.exe
• nabagent.exe
• nabmonitor.exe
• nabwatcher
• nortonantibot.exe
• vshwin32.exe