TSPY_USTEAL.USRJ

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

この「USTEAL」の亜種は、「TROJ_RANSOM.SMAR」として検出される身代金要求型マルウェア（ランサムウェア）を作成します。このランサムウェアは、新しいツールキッドビルダによって作成されます。

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、以下のフォルダを追加します。

• {Malware Path}\ufr_reports

スパイウェアは、以下のファイルを作成し実行します。

• %User Temp%\222.exe - detected as TROJ_RANSOM.SMAR

(註：%User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

スパイウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• UFR3

情報漏えい

スパイウェアは、以下の情報を収集します。

• System Information

情報収集

スパイウェアは、以下のファイル内に収集した情報を保存します。

• {Malware Path}\ufr_reports\report_{dd-mm-yyyy}_{System IDs}-{random}.bin

情報の送信先

収集された情報は、以下のWebサイトにアップロードされます。

• {BLOCKED}.{BLOCKED}i.esy.es

その他

スパイウェアは、以下のWebサイトにアクセスして感染コンピュータのIPアドレスを収集します。

• http://whatismyip.akamai.com
• http://whatismyip.everdot.org/ip
• http://whatismyip.org

スパイウェアが、作成し実行する以下のファイルは、「TROJ_RANSOM.SMA」として検出されます。

• %User Temp%\222.exe

スパイウェアは、以下のインストールされたFTPクライアントもしくはファイルマネージャに保存されているアカウント情報を搾取します。

• WS_FTP
• SmartFTP
• CoreFTP
• FileZilla
• FlashFXP
• Far
• Total Commander
• WinSCP

スパイウェアは、Eメールの認証情報を搾取します。

• The Bat!
• IncrediMail
• SeaMonkey
• Thunderbird

このスパイウェアは、ユーザ名やパスワード、ホスト名といった保存された情報を以下のブラウザから搾取します。

• Internet Explorer
• Opera
• Chromium-based
• FireFox
• Safari

このスパイウェアは、ユーザ名やパスワードといった保存された情報を以下のインスタントメッセンジャから搾取します。

• Mail.Ru Agent
• ICQ
• Miranda
• Psi
• Google Talk
• QIP 2005
• Live Messenger
• Pidgin
• QIP Infium
• MSN Messenger

このスパイウェアは、ユーザ名やパスワードといった保存された情報を以下のオンラインゲームから搾取します。

• World Of Tanks
• Full Tilt Poker
• Poker Stars

このスパイウェアは、ユーザ名やパスワードといった保存された情報を以下のWindowsアプリケーションから搾取します。

• RDP
• Windows RAS