TSPY_TRICKLOAD.RZ

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

• %Application Data%\winapp\{random filename}.exe

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

スパイウェアは、以下のプロセスを追加します。

• svchost.exe

スパイウェアは、以下のフォルダを作成します。

• %Application Data%\winapp\Modules\injectDll32_configs
• %Application Data%\winapp
• %Application Data%\winapp\Modules

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

スパイウェアは、以下のプロセスにコードを組み込みます。

• Created svchost.exe

自動実行方法

スパイウェアは、以下のファイルを作成します。

• %System%\Tasks\services update

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

この「スケジュールされたタスク」により、以下の時間ごとにスパイウェアが実行されます。

• minute

ダウンロード活動

スパイウェアは、以下のWebサイトにアクセスし、ファイルをダウンロードします。

• http://www.download.{BLOCKED}update.com/msdownload/update/v3/static/trustedr/en/authrootstl.cab

スパイウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %Application Data%\winapp\client_id
• %Application Data%\winapp\config.conf
• %Application Data%\winapp\group_tag
• %Application Data%\winapp\Modules\injectDll32
• %Application Data%\winapp\Modules\systeminfo32
• %Application Data%\winapp\Modules\injectDll32_configs\dinj
• %Application Data%\winapp\Modules\injectDll32_configs\dpost
• %Application Data%\winapp\Modules\injectDll32_configs\sinj

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

その他

スパイウェアは、以下のWebサイトにアクセスして感染コンピュータのIPアドレスを収集します。

• https://wtfismyip.com

スパイウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• {BLOCKED}.{BLOCKED}.178.114:443
• {BLOCKED}.{BLOCKED}.178.145:443
• {BLOCKED}.{BLOCKED}.84.2:447
• {BLOCKED}.{BLOCKED}.206.187:443
• {BLOCKED}.{BLOCKED}.82.174:443
• {BLOCKED}.{BLOCKED}.170.155:447
• {BLOCKED}.{BLOCKED}.218.117:443
• {BLOCKED}.{BLOCKED}.161.204:443
• {BLOCKED}.{BLOCKED}.169.106:443
• {BLOCKED}.{BLOCKED}.158.250:443
• {BLOCKED}.{BLOCKED}.30.30:443
• {BLOCKED}.{BLOCKED}.113.75:447
• {BLOCKED}.{BLOCKED}.146.77:443
• {BLOCKED}.{BLOCKED}.201.149:443
• {BLOCKED}.{BLOCKED}.208.202:447
• {BLOCKED}.{BLOCKED}.210.150:443
• {BLOCKED}.{BLOCKED}.114.233:443
• {BLOCKED}.{BLOCKED}.92.199:443
• {BLOCKED}.{BLOCKED}.165.16:443
• {BLOCKED}.{BLOCKED}.165.31:443
• {BLOCKED}.{BLOCKED}.136.55:443
• {BLOCKED}.{BLOCKED}.4.216:447
• {BLOCKED}.{BLOCKED}.68.140:443
• {BLOCKED}.{BLOCKED}.121.250:443
• {BLOCKED}.{BLOCKED}.91.27:443