TSPY_URSNIF.THOIBEAN

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

• %Application Data%\{string1}{string2}\{string1}{string2}.exe
  • {string1} = first four letters of a dll file under %System% directory
  • {string2} = last four letters of a dll file under %System% directory

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

スパイウェアは、以下のファイルを作成し実行します。

• %User Temp%\{random folder name}\{random filename}.bat = used to delete originally executed copy of itself. Deleted afterwards

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

スパイウェアは、以下のプロセスにコードを組み込みます。

• explorer.exe

自動実行方法

スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{string1}{string2} = %Application Data%\{string1}{string2}\{string1}{string2}.exe

他のシステム変更

スパイウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\AppDataLow\
Software\Microsoft\{GUID}

HKEY_CURRENT_USER\Software\AppDataLow\
Software\Microsoft\{GUID}\
Vars

HKEY_CURRENT_USER\Software\AppDataLow\
Software\Microsoft\{GUID}\
Files

HKEY_CURRENT_USER\Software\AppDataLow\
Software\Microsoft\{GUID}\
Config

スパイウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\AppDataLow\
Software\Microsoft\{GUID}
{UID} = "{hex value}"

HKEY_CURRENT_USER\Software\AppDataLow\
Software\Microsoft\{GUID}
Main = "{hex value}"

HKEY_CURRENT_USER\Software\AppDataLow\
Software\Microsoft\{GUID}
Block = "{hex value}"

HKEY_CURRENT_USER\Software\AppDataLow\
Software\Microsoft\{GUID}
Temp = "{hex value}"

HKEY_CURRENT_USER\Software\AppDataLow\
Software\Microsoft\{GUID}
Client = "{hex value}"

HKEY_CURRENT_USER\Software\AppDataLow\
Software\Microsoft\{GUID}
Ini = "{hex value}"

HKEY_CURRENT_USER\Software\AppDataLow\
Software\Microsoft\{GUID}
Keys = "{hex value}"

HKEY_CURRENT_USER\Software\AppDataLow\
Software\Microsoft\{GUID}
Install = "{hex value}"

HKEY_CURRENT_USER\Software\AppDataLow\
Software\Microsoft\{GUID}
LastTask = "{hex value}"

HKEY_CURRENT_USER\Software\AppDataLow\
Software\Microsoft\{GUID}
LastConfig = "{hex value}"

HKEY_CURRENT_USER\Software\AppDataLow\
Software\Microsoft\{GUID}
CrHook = "{hex value}"

HKEY_CURRENT_USER\Software\AppDataLow\
Software\Microsoft\{GUID}
OpHook = "{hex value}"

HKEY_CURRENT_USER\Software\AppDataLow\
Software\Microsoft\{GUID}
Exec = "{hex value}"

HKEY_CURRENT_USER\Software\AppDataLow\
Software\Microsoft\{GUID}
NetCfg = "{hex value}"

作成活動

スパイウェアは、以下のファイルを作成します。

• %User Temp%\{random filename}.bin
• %User Temp%\{random filename}.bin1

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

情報漏えい

スパイウェアは、以下の情報を収集します。

• System information
• Keyboard logs
• Browser cookies
• Email credentials
• Clipboard logs
• Installed software
• List of computers and devices on the network
• IP address
• Currently running processes
• Installed drivers

その他

スパイウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• https://{BLOCKED}heck.com/images/{random path}.{jpeg | gif | bmp}
• https://{BLOCKED}la.com/images/{random path}.{jpeg | gif | bmp}

スパイウェアは、以下を実行します。

• 窃取した情報をファイルに保存およびアップロード
• インターネット閲覧の監視
• 対象のプロセスのAPIをフック
• SPDYプロトコルの無効化
• 以下のコマンドを実行
  • cmd /C "systeminfo.exe > %User Temp%\{ランダムなファイル名}.bin1"
  • cmd /C "net view >> %User Temp%\{ランダムなファイル名}.bin1"
  • cmd /C "nslookup 127.0.0.1 >> %User Temp%\{ランダムなファイル名}.bin1"
  • cmd /C "tasklist.exe /SVC >> %User Temp%\{ランダムなファイル名}.bin1"
  • cmd /C "driverquery.exe >> %User Temp%\{ランダムなファイル名}.bin1"
  • cmd /C "reg.exe query "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall" /s >> %User Temp%\{ランダムなファイル名}.bin1"
  • cmd /U /C "type %User Temp%\{ランダムなファイル名}.bin1 > %User Temp%\{ランダムなファイル名}.bin & del %User Temp%\{ランダムなファイル名}.bin1"

  • makecab.exe /F "%User Temp%\{ランダムなファイル名}.bin

(注：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Temp"です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)