TSPY_URSNIF.DUNB

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、特定のWebサイトにアクセスし、情報を送受信します。 スパイウェアは、実行後、自身を削除します。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

• %System%\{string1 + string2}.exe
  where:
  • {string1} = first four letters of a dll file under %System% directory
  • {string2} = last four letters of a dll file under %System% directory
  (e.g. ciadt500.exe = ciadmin.dll + jet500.dll)
  
  

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

スパイウェアは、以下のファイルを作成し実行します。

• %User Temp%\{Random Filename}.bat - batch file to delete the executed copy

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

スパイウェアは、以下のプロセスにコードを組み込みます。

• explorer.exe

自動実行方法

スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{random} = "%System%\{string1 + string2}.exe"

他のシステム変更

スパイウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\AppDataLow\
{GUID}

スパイウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\AppDataLow\
{GUID}
Install = "{hex value}"

HKEY_CURRENT_USER\Software\AppDataLow\
{GUID}
Client = "{hex value}"

情報漏えい

スパイウェアは、以下の情報を収集します。

• Digital certificates
• Captured screenshot
• Computer name
• List of processes
• List of contents of the registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\
• System information
• Cookies
• List of drivers

その他

スパイウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• http://{BLOCKED}iren.ru
• http://{BLOCKED}iren.su
• http://{BLOCKED}tsar.ru
• http://{BLOCKED}tsar.su
• http://{BLOCKED}utro.su
• http://{BLOCKED}yzvuk.ru
• http://{BLOCKED}yzvuk.su
• http://{BLOCKED}oepivo.su
• http://{BLOCKED}iyden.ru
• http://{BLOCKED}iyden.su
• http://{BLOCKED}neviyrassvet.ru
• http://{BLOCKED}neviyrassvet.su
• http://{BLOCKED}ystul.ru
• http://{BLOCKED}ystul.su
• http://{BLOCKED}ayaporuka.ru
• http://{BLOCKED}ayaporuka.su
• http://{BLOCKED}dozhd.ru
• http://{BLOCKED}dozhd.su
• http://{BLOCKED}oge.ru
• http://{BLOCKED}oge.su
• http://{BLOCKED}class.su
• http://{BLOCKED}lich.su
• http://{BLOCKED}sneg.ru
• http://{BLOCKED}sneg.su
• http://{BLOCKED}vrag.ru
• http://{BLOCKED}vrag.su
• http://{BLOCKED}yzakat.ru
• http://{BLOCKED}yzakat.su
• http://{BLOCKED}kamish.ru
• http://{BLOCKED}kamish.su
• http://{BLOCKED}grom.ru
• http://{BLOCKED}grom.su
• http://{BLOCKED}reka.ru
• http://{BLOCKED}reka.su
• http://{BLOCKED}anoch.ru
• http://{BLOCKED}anoch.su
• http://{BLOCKED}les.ru
• http://{BLOCKED}les.su
• http://{BLOCKED}avodka.ru
• http://{BLOCKED}avodka.su
• http://{BLOCKED}hepot.ru
• http://{BLOCKED}hepot.su
• http://{BLOCKED}vecher.ru
• http://{BLOCKED}vecher.su
• http://{BLOCKED}aviypen.ru
• http://{BLOCKED}aviypen.su
• http://{BLOCKED}viyzayac.ru
• http://{BLOCKED}viyzayac.su
• http://{BLOCKED}heln.ru
• http://{BLOCKED}heln.su

スパイウェアは、実行後、自身を削除します。