TSPY_TRICKLOAD.RY

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、 Windows のタスクスケジューラを使い、「スケジュールされたタスク」を追加します。これにより、作成された自身のコピーが実行されます。

マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。 マルウェアは、実行後、自身を削除します。

侵入方法

その他は、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

その他は、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

• %Application Data%\{Malware File Name}.exe

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

その他は、以下のファイルを作成します。

• %Application Data%\client_id
• %Application Data%\group_tag
• %Windows%\Tasks\Driver update.job

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.. %Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

その他は、 Windows のタスクスケジューラを使い、「スケジュールされたタスク」を追加します。これにより、作成された自身のコピーが実行されます。

その他は、以下のプロセスを追加します。

• svchost.exe

その他は、以下のフォルダを作成します。

• %Application Data%\Modules\
• %Application Data%\Modules\injectDll32_configs
• %Application Data%\Modules\mailsearcher32_configs

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

その他は、以下のプロセスにコードを組み込みます。

• Created svchost.exe

自動実行方法

この「スケジュールされたタスク」により、以下の時間ごとにが実行されます。

• minute

ダウンロード活動

その他は、以下のファイル名でダウンロードしたファイルを保存します。

• %Application Data%\config.conf
• %Application Data%\Modules\injectDll32
• %Application Data%\Modules\systeminfo32
• %Application Data%\Modules\injectDll32_configs\dinj
• %Application Data%\Modules\injectDll32_configs\dpost
• %Application Data%\Modules\injectDll32_configs\sinj
• %Application Data%\Modules\mailsearcher32_configs\mailconf

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

その他

その他は、以下のWebサイトにアクセスして感染コンピュータのIPアドレスを収集します。

• checkip.amazonaws.com
• ipecho.net
• ipinfo.io
• api.ipify.org
• icanhazip.com
• myexternalip.com
• wtfismyip.com
• ip.anysrc.net

その他は、以下のWebサイトにアクセスし、情報を送受信します。

• {BLOCKED}.{BLOCKED}.249.45:443
• {BLOCKED}.{BLOCKED}.107.162:443
• {BLOCKED}.{BLOCKED}.206.58:443
• {BLOCKED}.{BLOCKED}.62.46:443
• {BLOCKED}.{BLOCKED}.120.132:443
• {BLOCKED}.{BLOCKED}.159.138:443
• {BLOCKED}.{BLOCKED}.30.123:443
• {BLOCKED}.{BLOCKED}.82.5:443
• {BLOCKED}.{BLOCKED}.161.221:443
• {BLOCKED}.{BLOCKED}.51.118:443
• {BLOCKED}.{BLOCKED}.236.86:443
• {BLOCKED}.{BLOCKED}.156.39:443

その他は、実行後、自身を削除します。