TSPY_SHIZ.MV

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、ワーム活動の機能を備えていません。

スパイウェアは、Internet Explorer（IE）のゾーン設定を変更します。

スパイウェアは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、以下のファイルを作成します。

• %User Temp%\{Random Hex Values} -> Contains the filename of the malware's dropped copy
• %User Temp%\{Random Characters 2}.tmp.bat
• %Application Data%\{Random Characters 1}\1_info.txt
• %Application Data%\{Random Characters 1}\1_cert.pfx
• %Application Data%\{Random Characters 1}\cmdline.txt
• %Application Data%\{Random Characters 3}.tmp
• %Application Data%\{Random Characters 4} -> Contains logs of running applications and accessed applications
• %Application Data%\sysinfo.txt -> Contains System Information (such as Running Processes, Network Status, Network Users)
• %Application Data%\keylog.txt

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.. %Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

スパイウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %ProgramData%\{Random Filename}.exe -> detected as TSPY_SHIZ.MV

(註：%ProgramData%フォルダは、Windows Vista および 7 の場合、通常、"C:\ProgramData"、Windows 2000、XP (32ビット)、Server 2003 の場合、"C:\Program Files"、Windows XP (64ビット) の場合、"C:\Program Files (x86)" です。)

スパイウェアは、以下のプロセスにコードを組み込みます。

• explorer.exe

自動実行方法

スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
IntelPowerAgent{random} = rundll32.exe shell32.dll, ShellExec_RunDLL %ProgramData%\{Random Filename}.exe

感染活動

スパイウェアは、ワーム活動の機能を備えていません。

Webブラウザのホームページおよび検索ページの変更

スパイウェアは、IEのゾーン設定を変更します。

情報収集

スパイウェアは、以下のファイル内に収集した情報を保存します。

• %Application Data%\{Random Characters 3}.tmp - zip file of all files of all collected information in the system

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

その他

スパイウェアは、以下のWebサイトにアクセスしてインターネット接続を確認します。

• microsoft.com
• twitter.com
• sendspace.com
• google.com
• instagram.com
• github.com
• python.org
• etrade.com
• yandex.ru
• icloud.com
• facebook.com
• dropbox.com

スパイウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• http://{BLOCKED}tem.eu/news/userlogin.php -> URL inaccessible

スパイウェアが作成する以下のファイルには、スパイウェアが作成したコピーのファイル名を含みます。

• %User Temp%\{Random Hex Values}

スパイウェアが作成する以下のファイルには、実行中のアプリケーションおよびアクセスされたアプリケーションのログを含みます。

• %Application Data%\{Random Characters 4}

スパイウェアが作成する以下のファイルには、実行中のプロセス、ネットワークステータス、ネットワークユーザといったコンピュータ情報が含まれます。

• %Application Data%\sysinfo.txt

スパイウェアが作成し実行する以下のファイルは、「TSPY_SHIZ.MV」として検出されます。

• %ProgramData%\{Random Filename}.exe

以下のファイルは、収集したコンピュータ情報のファイルすべてを保存したZIPファイルです。

• %Application Data%\{Random Characters 3}.tmp

スパイウェアは以下を実行します。

• キー入力操作情報の記録
• コンピュータ情報の収集
• アクティブなプロセス
• ネットワークトラフィック
• ネットワークユーザ
• ログインユーザ名やパスワードなどブラウザに入力された個人情報の収集
• 作成されたファイルの位置情報およびそのCRCチェックサムの収集
• インストールされたコンピュータ証明書についての情報の収集
• インストールされたセキュリティ対策製品についての情報の収集
• ビットコインやアルトコインのウォレットについての情報の収集
• スクリーンショットの取得
• %Application Data%下のすべてのファイルおよびフォルダの削除

• スパイウェアはデバッグされた場合、自身を終了します。
• 以下のプロセスが確認された場合、マルウェアは自身を終了します。
• vmtoolsd.exe　スパイウェアが仮想環境下で実行された場合
• 以下のファイルが確認された場合、スパイウェアは自身を終了します。
  • c:\analysis\sandboxstarter.exe
  • c:\analysis
  • c:\insidetm
  • %Systems%\drivers\vmmouse.sys
  • %Systems%\drivers\vmhgfs.sys
  • %Systems%\drivers\vboxmouse.sys
• 以下のDLLファイルが読み込まれた場合、スパイウェアは自身を終了します。
• dbghelp.dll (vmware)
• api_log.dll (SunBelt SandBox)
• dir_watch.dll (SunBelt SandBox)
• pstorec.dll (SunBelt Sandbox)
• 以下のDLLファイルが読み込まれた場合、スパイウェアはスリープします。
• sbiedll.dll (Sandboxie)
• ユーザ名またはコンピュータ名が以下である場合、スパイウェアは自身を終了します。
• SANDBOX
• FORTINET
• スパイウェアは、POSTをコマンド＆コントロール（C&C）サーバに送信後、収集したすべての情報を含むファイルや、ZIPファイル、”%Application Data%\{Random Characters 3}.tmp”を削除します。

スパイウェアは、ルートキット機能を備えていません。

スパイウェアは、、脆弱性を利用した感染活動を行いません。