TSPY_TEPFER.AWEI

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %User Profile%\s-1-5-21-1645522239-1292428093-682003330-1003\nlqngmz.exe

(註：%User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞" です。)

他のシステム変更

スパイウェアは、以下のファイルを削除します。

• %User Temp%\cpgZxabq4.tmp
• %User Temp%\cpgZxabq6.tmp
• %User Temp%\cpgZxabq8.tmp
• %User Temp%\cpgZxabqA.tmp
• %User Temp%\cpgZxabqC.tmp
• %User Temp%\cpgZxabqE.tmp
• %User Temp%\cpgZxabq10.tmp
• %User Temp%\cpgZxabq13.tmp
• %User Temp%\cpgZxabq1C.tmp
• %User Temp%\cpgZxabq25.tmp
• %User Temp%\cpgZxabq2C.tmp
• %User Temp%\cpgZxabq34.tmp
• %User Temp%\cpgZxabq3D.tmp
• %User Temp%\cpgZxabq46.tmp
• %User Temp%\cpgZxabq4F.tmp
• %User Temp%\cpgZxabq58.tmp
• %User Temp%\cpgZxabq61.tmp
• %User Temp%\cpgZxabq63.tmp
• %User Temp%\cpgZxabq65.tmp
• %User Temp%\cpgZxabq67.tmp
• %User Temp%\cpgZxabq6E.tmp
• %User Temp%\cpgZxabq7C.tmp
• %User Temp%\cpgZxabq7E.tmp
• %User Temp%\cpgZxabq92.tmp
• %User Temp%\cpgZxabq8C.tmp
• %User Temp%\cpgZxabqA3.tmp
• %User Temp%\cpgZxabq9F.tmp
• %User Temp%\cpgZxabqB5.tmp
• %User Temp%\cpgZxabqB2.tmp
• %User Temp%\cpgZxabqC3.tmp
• %User Temp%\cpgZxabqC7.tmp
• %User Temp%\cpgZxabqD5.tmp
• %User Temp%\cpgZxabqD8.tmp
• %User Temp%\cpgZxabqE6.tmp
• %User Temp%\cpgZxabqEB.tmp
• %User Temp%\cpgZxabqF7.tmp
• %User Temp%\cpgZxabq10E.tmp
• %User Temp%\cpgZxabq110.tmp
• %User Temp%\cpgZxabq112.tmp
• %User Temp%\cpgZxabq114.tmp
• %User Temp%\cpgZxabq118.tmp
• %User Temp%\cpgZxabqFE.tmp
• %User Temp%\cpgZxabq109.tmp
• %User Temp%\cpgZxabq11A.tmp
• %User Temp%\cpgZxabq120.tmp
• %User Temp%\cpgZxabq135.tmp
• %User Temp%\cpgZxabq130.tmp
• %User Temp%\cpgZxabq13A.tmp
• %User Temp%\cpgZxabq14B.tmp
• %User Temp%\cpgZxabq150.tmp
• %User Temp%\cpgZxabq155.tmp

(註：%User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

スパイウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Classes\
CLSID

HKEY_CURRENT_USER\CLSID\{0B167E75-447A-3C67-8462-ED17244C180F}

HKEY_CURRENT_USER\CLSID\{4DDB126E-06B7-4228-7227-B213CE115649}

HKEY_CURRENT_USER\CLSID\{1FF63CF1-3366-4B4C-E935-5524BD3E2F2D}

HKEY_CURRENT_USER\CLSID\{4C880175-058D-3AB0-DF2D-FD4250044018}

スパイウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\CLSID\{0B167E75-447A-3C67-8462-ED17244C180F}
ButtonAlternateFace = "{random values}"

HKEY_CURRENT_USER\CLSID\{4DDB126E-06B7-4228-7227-B213CE115649}
Hilight = "{random values}"

HKEY_CURRENT_USER\CLSID\{1FF63CF1-3366-4B4C-E935-5524BD3E2F2D}
Directory Name = "{random values}"

HKEY_CURRENT_USER\CLSID\{4C880175-058D-3AB0-DF2D-FD4250044018}
ButtonAlternateFace = "{random values}"

作成活動

スパイウェアは、以下のファイルを作成します。

• %Windows%\Tasks\{04454EB5-72B8-5D69-E810-A31AFD53BF1A}.job

(註：%Windows%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、"C:\Windows" です。)

その他

スパイウェアは、以下の不正なWebサイトにアクセスします。

• http://{BLOCKED}lsha.com/scan.php
• http://{BLOCKED}lsha.com/webanalytic/analytic.php
• http://{BLOCKED}cktoe.net/webanalytic/analytic.php
• http://{BLOCKED}6.77.27/proxy/proxy.php?ips=192.168.2.74;
• http://{BLOCKED}6.77.27/webanalytic/analytic.php

このウイルス情報は、自動解析システムにより作成されました。