TSPY_SPYEYE.BIN

スパイウェアは、リモートサイトから他のマルウェア、グレイウェアまたはスパイウェアにダウンロードされ、コンピュータに侵入します。 スパイウェアは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。

スパイウェアは、特定のWebサイトにアクセスし、情報を送受信します。

スパイウェアは、ルートキット機能を備えており、自身に関連したプロセスおよびファイルを隠匿し、ユーザによる検出および削除を避けます。

スパイウェアは、Internet Explorer（IE）のゾーン設定を変更します。

スパイウェアは、ユーザ名およびパスワードといったオンラインバンキングに関連した個人情報を収集します。これにより、収集された情報は不正リモートユーザにより悪用される可能性があります。

侵入方法

スパイウェアは、リモートサイトから他のマルウェア、グレイウェアまたはスパイウェアにダウンロードされ、コンピュータに侵入します。

スパイウェアは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。

インストール

スパイウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %System Root%Recycle.Bin\B6232F3A1D5.exe

(註：%System Root%は、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。)

スパイウェアは、以下の無害なファイルを作成します。

• %System Root%Recycle.Bin\2FC03553D109167 - configuration file

(註：%System Root%は、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。)

スパイウェアは、以下のフォルダを作成します。

• %System Root%Recycle.Bin

(註：%System Root%は、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。)

自動実行方法

スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
4Y3Y0C3AXF7XXHYWYOWMYC = "%System Root%Recycle.Bin\B6232F3A1D5.exe /q"

他のシステム変更

スパイウェアは、インストールの過程で、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\PhishingFilter
EnabledV8 = "0"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\PhishingFilter
ShownServiceDownBalloon = "0"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Recovery
ClearBrowsingHistoryOnExit = "0"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings
WarnOnPostRedirect = "0"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings
WarnOnIntranet = "0"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings
GlobalUserOffline = "0"

バックドア活動

スパイウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• www.{BLOCKED}xxs400.biz

ルートキット機能

スパイウェアは、ルートキット機能を備えており、自身に関連したプロセスおよびファイルを隠匿し、ユーザによる検出および削除を避けます。

Webブラウザのホームページおよび検索ページの変更

スパイウェアは、IEのゾーン設定を変更します。

情報漏えい

スパイウェアは、ユーザ名およびパスワードといったオンラインバンキングに関連した個人情報を収集します。これにより、収集された情報は不正リモートユーザにより悪用される可能性があります。

スパイウェアは、以下のプロセスを除くすべての実行中のプロセスにリモートスレッドを組み込み、システムのプロセスに常駐します。

• System
• smss.exe
• csrss.exe
• services.exe
• Recycle.Bin.exe

スパイウェアは、システムに関する以下の情報をコマンド＆コントロール（C&C）サーバに送信します。

• アカウントの種類
• IEのバージョン
• 言語識別子
• ローカル日時
• オペレーティングシステム（OS）の情報
• タイマ刻み数
• タイム ゾーン
• ボリューム情報

スパイウェアは、ボットに関する以下の情報をコマンド＆コントロール（C&C）サーバに送信します。

• Bot GUID
• Bot hash
• ボットネットへの接続状況（オンライン／オフライン）
• Bot version
• Function data
• このスパイウェアによってフックされた機能
• このスパイウェアのプラグイン
• プロセス名
• 実行されたコマンドの状況

スパイウェアは、自身の不正活動を行うために、以下のAPIをフックします。

• advapi32.dll
• CryptEncrypt

• crypt32.dll
• PFXImportCertStore

• user32.dll
• TranslateMessage

• wininet.dll
• TranslateMessage
• HttpAddRequestHeadersA
• HttpOpenRequestA
• HttpQueryInfoA
• HttpSendRequestA
• HttpSendRequestW
• InternetCloseHandle
• InternetQueryDataAvailable
• InternetQueryOptionA
• InternetReadFile
• InternetReadFileExA
• InternetWriteFile

• ws2_32.dll
• send

• ntdll.dll
• NtClose
• NtEnumerateValueKey
• NtQueryDirectoryFile
• NtResumeThread
• NtSetInformationFile
• NtVdmControl

スパイウェアは、以下の不正活動を行う機能を備えています。

• 環境設定ファイルの更新
• 自身の更新
• FTPで用いられるアカウント情報の収集
• POP3で用いられるアカウント情報の収集
• 個人証明書の収集
• スクリーンショットの取得
• 以下のブラウザを利用し、正規のWebサイトに偽のログインページの表示
  • IE
  • Firefox
  • Opera
  • Chrome
• Eメールアドレスの収集
• FTPの反転接続
• プロキシサーバを介した反転接続
• リモートデスクトップの接続