TSPY_SWOTTER.THFBOAJ

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェア マルウェアは、自身（コンピュータに侵入して最初に自身のコピーを作成した マルウェア ）を削除します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、異なるファイル名を用いて以下のフォルダ内に自身のコピーを作成します。

• %Program Files%\{random name 1}\{random name 2}.exe

(註：%Program Files%フォルダは、プログラムファイルのフォルダで、いずれのオペレーティングシステム(OS)でも通常、 "C:\Program Files"、64bitのOS上で32bitのアプリケーションを実行している場合、 "C:\Program Files (x86)" です。.)

マルウェアは、以下のファイルを作成します。

• %User Temp%\ns{Random}\System.dll
• %User Temp%\Proctodaeum.bin - detected as TSPY_SWOTTER.ENC (encrypted component)
• %User Temp%\unsocialism.dll - decrypts encrypted component, also detected as TSPY_SWOTTER.THFBOAJ

マルウェアは、以下のプロセスを追加します。

• {Malware filepath}\{Malware filename}

マルウェアは、以下のプロセスに自身を組み込み、システムのプロセスに常駐します。

• {Malware filepath}\{Malware filename} (The process added by the malware)

マルウェアは、以下のフォルダを作成します。

• %User Temp%\ns{Random}.tmp
• %Program Files%\{random name 1}
• %Application Data%\667MNQR6

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.. %Program Files%フォルダは、プログラムファイルのフォルダで、いずれのオペレーティングシステム(OS)でも通常、 "C:\Program Files"、64bitのOS上で32bitのアプリケーションを実行している場合、 "C:\Program Files (x86)" です。.. %Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

マルウェアは、以下の通常のプロセスにスレッドを組み込みます。

• explorer.exe

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{Random3} = %Program Files%\{random name 1}\{random name 2}.exe

情報漏えい

マルウェアは、以下の情報を収集します。

• Clipboard content
• Keystrokes
• User's SID
• Operating system version
• Operating system architecture
• Username

マルウェアは、保存されている以下のEメール認証情報を収集します。

• Thunderbird
• Microsoft Outlook

マルウェアは、以下のブラウザから、ユーザ名、パスワードやホスト名といった保存された情報を収集します。

• Firefox
• Opera
• Internet Explorer
• Google Chrome

情報収集

マルウェアは、以下のファイル内に収集した情報を保存します。

• %Application Data%\667MNQR6\667logcl.ini - clipboard content
• %Application Data%\667MNQR6\667log.ini - keystrokes
• %Application Data%\667MNQR6\667logrt.ini - Thunderbird passwords
• %Application Data%\667MNQR6\667logrg.ini - Google passwords
• %Application Data%\667MNQR6\667logrc.ini - Outlook passwords
• %Application Data%\667MNQR6\667logrv.ini - Windows Vault passwords
• %Application Data%\667MNQR6\667logro.ini - Opera passwords
• %Application Data%\667MNQR6\667logri.ini - Internet Explorer passwords
• %Application Data%\667MNQR6\667logrf.ini - Firefox passwords
• %Application Data%\667MNQR6\667logim.jpg - screenshot

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

マルウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

• http://www.{BLOCKED}ineandian.com/zz/
• http://www.{BLOCKED}angpanpan.com/zz/
• http://www.{BLOCKED}ten.com/zz/
• http://www.{BLOCKED}p.com/zz/
• http://www.{BLOCKED}rsfaits.com/zz/
• http://www.{BLOCKED}n.net/zz/
• http://www.{BLOCKED}werup.com/zz/
• http://www.{BLOCKED}ntedbookgarden.com/zz/
• http://www.{BLOCKED}apoder.com/zz/
• http://www.{BLOCKED}hes.com/zz/
• http://www.{BLOCKED}oto.com/zz/
• http://www.{BLOCKED}algroup.biz/zz/
• http://www.{BLOCKED}rlygrieve.com/zz/
• http://www.{BLOCKED}gallurproperty.com/zz/
• http://www.{BLOCKED}5.com/zz/
• http://www.{BLOCKED}h.com/zz/
• http://www.{BLOCKED}maury.net/zz/
• http://www.{BLOCKED}oenelmundo.com/zz/
• http://www.{BLOCKED}jobsuae.com/zz/
• http://www.{BLOCKED}ngtouzi.com/zz/
• http://www.{BLOCKED}or.com/zz/
• http://www.{BLOCKED}nglarnaca.com/zz/
• http://www.{BLOCKED}buhb.loan/zz/
• http://www.{BLOCKED}olabs.com/zz/
• http://www.{BLOCKED}stateagentinfolsom.com/zz/
• http://www.{BLOCKED}lijn.com/zz/
• http://www.{BLOCKED}grafica.com/zz/
• http://www.{BLOCKED}shikong.com/zz/
• http://www.{BLOCKED}o.com/zz/
• http://www.{BLOCKED}sepahyar.com/zz/
• http://www.{BLOCKED}oom.net/zz/
• http://www.{BLOCKED}y.com/zz/
• http://www.{BLOCKED}alky.site/zz/
• http://www.{BLOCKED}nytimeshare.info/zz/
• http://www.{BLOCKED}2bm3h1b060bftgdwp.com/zz/
• http://www.{BLOCKED}rteckcybbautboards.win/zz/

その他

マルウェア は、自身（コンピュータに侵入して最初に自身のコピーを作成した マルウェア ）を削除します。

＜補足＞
インストール

マルウェアは、以下のファイルを作成します。

• %User Temp%\ns{Random}\System.dll
• %User Temp%\Proctodaeum.bin
  ※「TSPY_SWOTTER.ENC」として検出される暗号化されたコンポーネント
• %User Temp%\unsocialism.dll
  ※暗号化されたコンポーネントを復号する。このファイルも「TSPY_SWOTTER.THFBOAJ」として検出される

マルウェアは、以下のプロセスを追加します。

• {マルウェアのファイルパス}\{マルウェアのファイル名}

マルウェアは、以下のプロセスに自身を組み込み、システムのプロセスに常駐します。

• {マルウェアのファイルパス}\{マルウェアのファイル名} (マルウェアに追加されるプロセス)

マルウェアは、以下のフォルダを作成します。

• %User Temp%\ns{ランダム}.tmp
• %Program Files%\{ランダムな名前 1}
• %Application Data%\667MNQR6

情報漏えい

マルウェアは、以下の情報を収集します。

• クリップボードの内容
• キー入力操作情報
• ユーザのSID
• オペレーティングシステム（OS）のバージョン
• オペレーティングシステム（OS）アーキテクチャ
• ユーザ名

情報収集

マルウェアは、以下のファイル内に収集した情報を保存します。

• %Application Data%\667MNQR6\667logcl.ini - クリップボードの内容
• %Application Data%\667MNQR6\667log.ini - キー入力情報
• %Application Data%\667MNQR6\667logrt.ini - Thunderbirdのパスワード
• %Application Data%\667MNQR6\667logrg.ini - Googleのパスワード
• %Application Data%\667MNQR6\667logrc.ini - Outlookのパスワード
• %Application Data%\667MNQR6\667logrv.ini - Windows Vaultのパスワード
• %Application Data%\667MNQR6\667logro.ini - Operaのパスワード
• %Application Data%\667MNQR6\667logri.ini - Internet Explorer（IE）のパスワード
• %Application Data%\667MNQR6\667logrf.ini - Firefox のパスワード
• %Application Data%\667MNQR6\667logim.jpg - スクリーンショット

その他

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• ファイルのダウンロードおよび実行
• 自身の更新
• 自身の削除
• cmdコマンドの実行
• ブラウザのクッキーのクリア
• システムの再起動
• スクリーンショットの取得
• システムのシャットダウン