• Email
• Facebook
• Twitter
• Google+
• Linkedin

TSPY_BISTY.SM

---

• マルウェアタイプ: スパイウェア
• 破壊活動の有無: なし
• 暗号化: なし
• 感染報告の有無: はい

---

  概要

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、ワーム活動の機能を備えていません。

スパイウェアは、バックドア活動の機能を備えていません。

スパイウェアは、ダウンロードする機能を備えていません。

スパイウェアは、感染コンピュータ上の特定の情報を収集します。

スパイウェアは、特定のWebサイトにアクセスし、情報を送受信します。 スパイウェア マルウェアは、自身（コンピュータに侵入して最初に自身のコピーを作成した スパイウェア ）を削除します。

---

  詳細

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、以下のファイルを作成します。

• %Windows%\fxsst.dll - also detected as TSPY_BISTY.SM
• %User Temp%\SYSTEM {random number} - also detected as TSPY_BISTY.SM

(註：%Windows%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows9x、Me、XP、Server 2003の場合、"C:\Window"、WindowsNT および 2000の場合、"C:\WINNT" です。. %User Temp%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\Temp"、Windows NT の場合、"C:\Profiles\＜ユーザー名＞\TEMP"、Windows 2000、XP、Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\TEMP" です。)

スパイウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Program Files%\Internet Explorer\IeCheck.exe

(註：%Program Files%は、標準設定では "C:\Program Files" です。)

スパイウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• Global\2009-v11

スパイウェアは、以下の通常のプロセスにスレッドを組み込みます。

• SVCHOST.EXE
• EXPLORER.EXE

自動実行方法

スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Active Setup\Installed Components\{e3df6b419d1F}
StubPath = "%Program Files%\Internet Explorer\IeCheck"

スパイウェアは、＜User Startup＞フォルダ内に、自身のコピーに誘導する以下のショートカットを作成します。これにより、Windows起動時に自身のコピーが自動実行されます。

• %User Startup%\IExplore.lnk

(註： %User Startup%フォルダは、通常、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup" 、Windows NTの場合、"C:\WINNT\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup"、Windows 2000、XP、Server 2003の場合、"C:\Documents and Settings\＜ユーザ名＞\Start Menu\Programs\Startup " です。)

他のシステム変更

スパイウェアは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Active Setup\Installed Components\{e3df6b419d1F}

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Control\MediaResources\msvideo

HKEY_CURRENT_USER\Software\Google

スパイウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Google
ActiveSettings = "{hex values}"

感染活動

スパイウェアは、ワーム活動の機能を備えていません。

バックドア活動

スパイウェアは、バックドア活動の機能を備えていません。

プロセスの終了

スパイウェアは、感染コンピュータ上でプロセスが常駐されていることを確認した場合、以下のいずれかの文字列を含むプロセスまたはサービスを終了します。

• 360sd.exe
• 360tray.exe
• ashServ.exe
• Avast
• avgrsx.exe
• avp.exe
• ccSvcHst.exe
• ekrn.exe
• FProt
• FProtTray.exe
• KAVsvc.exe
• KVwsc.exe
• Mcafee
• Mcshield.exe
• MPMon.exe
• NOD32
• nod32krn.exe
• nscsrvce.exe
• RavMon.exe
• ravtask.exe
• rising.exe
• RsTray.exe
• rtvscan.exe
• sched.exe
• SfCtlCom.exe
• UfNavi.exe
• UfSeAgnt.exe
• 360Safe

ダウンロード活動

スパイウェアは、ダウンロードする機能を備えていません。

情報漏えい

スパイウェアは、感染コンピュータ上の以下の情報を収集します。

• HTTP Password
• HTTP Server URL
• HTTP User
• IMAP Password
• IMAP Server
• IMAP User
• POP3 Password
• POP3 Server
• POP3 User
• SMTP Email Address
• SMTP Server

その他

スパイウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• fbi.{BLOCKED}z.com
• mf.{BLOCKED}s.info
• av.{BLOCKED}s.us
• ls.{BLOCKED}tp.com

スパイウェア は、自身（コンピュータに侵入して最初に自身のコピーを作成した スパイウェア ）を削除します。

スパイウェアは、ユーザがInternet Explorer（IE）でインターネットを閲覧する際、常にキー入力情報を記録します。

スパイウェアは、ルートキット機能を備えていません。

スパイウェアは、脆弱性を利用した感染活動を行いません。

スパイウェアが作成するファイルは、このスパイウェアとして検出されます。

• %Windows%\fxsst.dll
• %User Temp%\SYSTEM ＜ランダムな数値＞

スパイウェアが収集する情報は、以下のとおりです。

• HTTPパスワード
• HTTPサーバのURL
• HTTPユーザ
• IMAPパスワード
• IMAPサーバ
• IMAPユーザ
• POP3パスワード
• POP3サーバ
• POP3ユーザ
• SMTPのEメールアドレス
• SMTPサーバ

---

  対応方法

ご利用はいかがでしたか？　アンケートにご協力ください