TSPY_SHIZ.MJSX

スパイウェアは、リモートサイトから他の不正プログラムにダウンロードされ、コンピュータに侵入します。

スパイウェアは、ワーム活動の機能を備えていません。

ただし、情報公開日現在、このWebサイトにはアクセスできません。

侵入方法

スパイウェアは、リモートサイトから以下の不正プログラムによりダウンロードされ、コンピュータに侵入します。

• W2KM_SHIZ.MJSX

インストール

スパイウェアは、以下のファイルを作成します。

• %AppDataLocal%\{random}.tmp.bat ← used to modify itself; deleted afterwards
• %Application Data%\{random folder}\{random filename}.txt ← logs files

(註：%AppDataLocal%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local" です。. %Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

スパイウェアは、以下のファイルを作成し実行します。

• %All Users Profile%\Application Data \{random}.exe ← detected as TSPY_SHIZ.SMJX

(註：%All Users Profile%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\All Users”、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\ProgramData” です。.)

スパイウェアは、以下のプロセスを追加します。

• svchost.exe

スパイウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• Global\{3492473cd35c8bdceed8}
• {random string}

スパイウェアは、以下のプロセスにコードを組み込みます。

• created svchost.exe

自動実行方法

スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
IntelPowerAgent{number} = "rundll32.exe shell32.dll, ShellExec_RunDLL %All Users Profile%\Application Data\{random}.exe"

他のシステム変更

スパイウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows
{random} = "{hex value}"

感染活動

スパイウェアは、ワーム活動の機能を備えていません。

情報漏えい

スパイウェアは、以下の情報を収集します。

• OS information
• Account Information of certain application
• Path of target process and its CRC
• Keystroke
• Clipboard
• Screenshots
• Running processes
• Network traffic
• Network user
• Installed system certificates
• Installed AV products
• Bitcoin wallet contents
• Litecoin wallet contents
• User Name
• Computer Name
• OS Install Date
• Cookies

情報収集

スパイウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

• https://{BLOCKED}icworld.com/news/userlogin.php

その他

スパイウェアは、以下のWebサイトにアクセスしてインターネット接続を確認します。

• vk.com
• yandex.ru
• download.windowsupdate.com
• dropbox.com
• microsoft.com

ただし、情報公開日現在、このWebサイトにはアクセスできません。

スパイウェアが作成する以下のファイルは、自身を改変するために利用され、その後削除されます。

• %AppDataLocal%\{random}.tmp.bat

スパイウェアが作成する以下のファイルは、ログファイルです。

• %Application Data%\{random folder}\{random filename}.txt

スパイウェアが作成し実行する以下のファイルは、「TSPY_SHIZ.SMJX」として検出されます。

• %All Users Profile%\Application Data \{random}.exe

スパイウェアが作成する情報は以下のとおりです。

• OSの情報
• 特定のアプリケーションのアカウント情報
• 標的としたプロセスのパスおよびそのCRC
• キー入力操作情報
• クリップボード情報
• スクリーンショット
• 実行中のプロセス
• ネットワークトラフィック
• ネットワークユーザ
• インストールされたコンピュータの証明書
• インストールされたセキュリティ対策製品
• 「Bitcoin（ビットコイン）」のウォレットの中身
• Litecoinのウォレットの中身
• ユーザ名
• コンピュータ名
• OSがインストールされた日付
• クッキー

デバッグされた場合、スパイウェアは自身を終了します。

以下のファイルおよびディレクトリが確認された場合、スパイウェアは自身を終了します。

• %System Root%\sample\pos.exe
• %System Root%\analysis\sandboxstarter.exe
• %System Root%\analysis
• %System Root%\insidetm
• %System Root%\iDEFENSE
• %System Root%\popupkiller.exe
• %System Root%\tools\execute.exe
• %System%\drivers\vmhgfs.sys
• %System%\drivers\vmmouse.sys
• %System%\drivers\vboxmouse.sys

以下のネットワーク監視ファイルが確認された場合、スパイウェアは自身を終了します。

• \.\NPF_NdisWanIp

以下のDLLファイルが読み込まれた場合、スパイウェアは自身を終了します。

• dbghelp.dll
• api_log.dll
• dir_watch.dll
• pstorec.dll

以下のDLLファイルが読み込まれた場合、スパイウェアはスリープします。

• sbiedll.dll
• snxhk.dll

ユーザ名またはコンピュータ名が以下である場合、スパイウェアは自身を終了します。

• SANDBOX
• FORTINET
• VIRUS
• MALWARE
• MALNETVM
• ANALYSERS

特定のアプリケーションで以下の文字列が確認された場合、スパイウェアは情報の収集を試みます。

• tellerplus
• bancline
• fidelity
• micrsolv
• bankman
• vanity
• episys
• jack henry
• cruisenet
• gplusmain
• silverlake
• v48d0250s1

スパイウェアは、以下のレジストリを検索することで、インストールされたセキュリティ対策製品を確認します。

• HKEY_LOCAL_MACHINE\Microsoft\Microsoft Antimalware
• HKEY_LOCAL_MACHINE\Software\Avg
• HKEY_LOCAL_MACHINE\Software\G Data
• HKEY_LOCAL_MACHINE\Software\Avira
• HKEY_LOCAL_MACHINE\Software\AVAST
• HKEY_LOCAL_MACHINE\Software\Avast
• HKEY_LOCAL_MACHINE\Software\KasperskyLab\protected
• HKEY_LOCAL_MACHINE\Software\Bitdefender
• HKEY_LOCAL_MACHINE\Software\Panda Software
• HKEY_LOCAL_MACHINE\Software\Sophos
• HKEY_LOCAL_MACHINE\Software\Coranti
• HKEY_LOCAL_MACHINE\Software\rising
• HKEY_LOCAL_MACHINE\Software\TrendMicro
• HKEY_LOCAL_MACHINE\Software\Symantec
• HKEY_LOCAL_MACHINE\Software\ComodoGroup
• HKEY_LOCAL_MACHINE\Software\Network Associates\TVD
• HKEY_LOCAL_MACHINE\Software\Data Fellows\F-Secure
• HKEY_LOCAL_MACHINE\Software\Eset\Nod
• HKEY_LOCAL_MACHINE\Software\Softed\ViGUARD
• HKEY_LOCAL_MACHINE\Software\Zone Labs\ZoneAlarm
• HKEY_LOCAL_MACHINE\Software\VBA32
• HKEY_LOCAL_MACHINE\Software\Doctor Web

スパイウェアは、以下の電子バンキングアプリケーションに関連したファイルから情報を収集します。

• HBPData\hbp.profile
• ELBA5\ELBA_data
• Omikron\MCSign

スパイウェアは、以下をプロセスを検索し、コンピュータがPOSシステムかどうかを確認します。

• pos.exe
• bank.exe

スパイウェアは、以下のプロセスによってなされるダウンロードを監視し、傍受します。

• iexplore.exe
• opera.exe
• firefox.exe
• chrome.exe
• maxthon.exe
• java.exe
• javaw.exe
• plugin-container.exe
• acrobat.exe
• acrod32.exe

スパイウェアは、APIをフックし、アプリケーションを組み込みます。

スパイウェアは、組み込まれたブラウザ上で、Webインジェクションおよび構文解析を実行する可能性があります。

スパイウェアは、ファイルをダウンロードします。

スパイウェアは、ルートキット機能を備えていません。

スパイウェアは、、脆弱性を利用した感染活動を行いません。