TSPY_SHYLOCK.B

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

このマルウェアは、攻撃者が管理する偽の番号で、特定の銀行の連絡先番号を置き換えます。これにより、ユーザは、攻撃者に銀行情報や個人情報を収集されてしまう可能性があります。

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、ルートキット機能を備えており、自身に関連したプロセスおよびファイルを隠匿し、ユーザによる検出および削除を避けます。

ただし、情報公開日現在、このWebサイトにはアクセスできません。

スパイウェアは、ユーザ名およびパスワードといったオンラインバンキングに関連した個人情報を収集します。これにより、収集された情報は不正リモートユーザにより悪用される可能性があります。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Application Data%\{randomly selected folder}\{random path}\{random file name}.exe

(註：%Application Data%フォルダは、 Windows 2000、XP、Server 2003 の場合 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" 、 Windows NTの場合 "C:\WINNT\Profiles\＜ユーザ名＞\Application Data"、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞\Application Data" です。)

スパイウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• {GUID}

スパイウェアは、以下のプロセスにコードを組み込みます。

• explorer.exe

自動実行方法

スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{GUID} = "%Application Data%\{randomly selected folder}\{random path}\{random file name}.exe"

ルートキット機能

スパイウェアは、ルートキット機能を備えており、自身に関連したプロセスおよびファイルを隠匿し、ユーザによる検出および削除を避けます。

ダウンロード活動

スパイウェアは、以下のWebサイトにアクセスして自身の環境設定ファイルをダウンロードします。

• {BLOCKED}stem.cc
• {BLOCKED}otec.at
• {BLOCKED}atistics.net

ただし、情報公開日現在、このWebサイトにはアクセスできません。

情報漏えい

スパイウェアは、ユーザ名およびパスワードといったオンラインバンキングに関連した個人情報を収集します。これにより、収集された情報は不正リモートユーザにより悪用される可能性があります。

その他

作成されたmutex「＜GUID＞」は、コンピュータ名のSIDを基に不正プログラムによって算出されます。

上述の「{randomly selected folder}」は、"＜Application Data＞" ファルダ内のいずれかのフォルダです。「{random path}」は、"{randomly selected folder}" フォルダ内のランダムなサブフォルダです。「{random file name}」は、"＜Windowsシステムフォルダ＞" 内のいずれかの実行可能ファイルの名前です。

(註：%Application Data%フォルダは、 Windows 2000、XP、Server 2003 の場合 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" 、 Windows NTの場合 "C:\WINNT\Profiles\＜ユーザ名＞\Application Data"、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞\Application Data" です。)