TSPY_SEPAR.E

スパイウェアは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。 スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、Internet Explorer（IE）のゾーン設定を変更します。

侵入方法

スパイウェアは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、以下のファイルを作成します。

• %All Users Profile%\Msn\Adobe\003_{datetime}.059
• %All Users Profile%\Msn\Adobe\{random number}.{random value}
• %All Users Profile%\Msn\Adobe\Acro3.pmd
• %All Users Profile%\Msn\Adobe\Acropa4.exe
• %All Users Profile%\Msn\Adobe\Bcro3.pmd
• %All Users Profile%\Msn\Adobe\Bdoc.pdf
• %All Users Profile%\Msn\Adobe\adip.klc
• %All Users Profile%\Msn\Adobe\az1.bat
• %All Users Profile%\Msn\Adobe\keeprun.ini
• %All Users Profile%\Msn\Adobe\kj4.bat
• %All Users Profile%\Msn\Adobe\mk.qaz
• %All Users Profile%\Msn\Adobe\monf2.reg
• %All Users Profile%\Msn\Adobe\sed2.vbs
• %All Users Profile%\Msn\Adobe\uk5.vbs
• %System%\Users\Public\Public Document\Adobe\page\003_{datetime}.058
• %System%\Users\Public\Public Document\Adobe\page\003_{datetime}.059
• %System%\Users\Public\Public Document\Adobe\page\{random number}.{random value}
• %System%\Users\Public\Public Document\Adobe\page\Acro3.pmd
• %System%\Users\Public\Public Document\Adobe\page\Acropa4.exe
• %System%\Users\Public\Public Document\Adobe\page\Bcro3.pmd
• %System%\Users\Public\Public Document\Adobe\page\Bdoc.pdf
• %System%\Users\Public\Public Document\Adobe\page\adip.klc
• %System%\Users\Public\Public Document\Adobe\page\az1.bat
• %System%\Users\Public\Public Document\Adobe\page\keeprun.ini
• %System%\Users\Public\Public Document\Adobe\page\kj4.bat
• %System%\Users\Public\Public Document\Adobe\page\mk.qaz
• %System%\Users\Public\Public Document\Adobe\page\monf2.reg
• %System%\Users\Public\Public Document\Adobe\page\sed2.vbs
• %System%\Users\Public\Public Document\Adobe\page\uk5.vbs

(註：%All Users Profile%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\All Users”、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\ProgramData” です。.. %System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

自動実行方法

スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
loo3 = "%User Profile%\Msn\Adobe\kj4.bat"

他のシステム変更

スパイウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
MSDAIPP\Provider\{6EB2FDC8-EB83A618-96C19D60-2328F370}
{default} = "{Random Hex Values}"

HKEY_CURRENT_USER\Software\Microsoft\
MSDAIPP\Provider\{67AF0C7F-DA0F0745-C3CC8685-CEC42AE0}
{default} = "{Random Hex Values}"

HKEY_CURRENT_USER\Software\WinRAR SFX
C%%Users%Public%Public Document%Adobe%page% = "%System%\Users\Public\Public Document\Adobe\page\"

Webブラウザのホームページおよび検索ページの変更

スパイウェアは、IEのゾーン設定を変更します。

その他

スパイウェアは、以下の不正なWebサイトにアクセスします。

• ftp.{BLOCKED}stia.com