• Email
• Facebook
• Twitter
• Google+
• Linkedin

TSPY_DYRE.MSN

---

• マルウェアタイプ: スパイウェア
• 破壊活動の有無: なし
• 暗号化: はい
• 感染報告の有無: はい

---

  概要

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、 Windows のタスクスケジューラを使い、「スケジュールされたタスク」を追加します。これにより、作成された自身のコピーが実行されます。

スパイウェアは、ワーム活動の機能を備えていません。

スパイウェアは、特定のWebサイトにアクセスし、情報を送受信します。 ただし、情報公開日現在、このWebサイトにはアクセスできません。 スパイウェア マルウェアは、自身（コンピュータに侵入して最初に自身のコピーを作成した スパイウェア ）を削除します。

---

  詳細

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %AppDataLocal%\{random filename}.exe (for Windows Vista and above)
• %Windows%\{random filename}.exe (for Windows XP and below)

(註：%AppDataLocal%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local" です。. %Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

スパイウェアは、 Windows のタスクスケジューラを使い、「スケジュールされたタスク」を追加します。これにより、作成された自身のコピーが実行されます。

スパイウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• Global\{random}

スパイウェアは、以下のプロセスにコードを組み込みます。

• explorer.exe
• svchost.exe

自動実行方法

この「スケジュールされたタスク」により、以下の時間ごとにスパイウェアが実行されます。

• 1 minute

他のシステム変更

スパイウェアは、以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Control\Lsa
LimitBlankPasswordUse = "0"

(註：変更前の上記レジストリ値は、「1」となります。)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Control\Terminal Server
fDenyTSConnections = "0"

(註：変更前の上記レジストリ値は、「1」となります。)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Control\Terminal Server
fSingleSessionPerUser = "0"

(註：変更前の上記レジストリ値は、「1」となります。)

感染活動

スパイウェアは、ワーム活動の機能を備えていません。

作成活動

スパイウェアは、以下のファイルを作成します。

• %System%\config\systemprofile\Application Data\{random filename} (for Windows XP and below)
• %AppDataLocal%\{random filename} (for Windows Vista and above)

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.. %AppDataLocal%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local" です。)

情報漏えい

環境設定ファイルは、以下の情報を含んでいます。

• List of strings related to banking/bitcoin
• Proxy address for the Man-in-the-middle attack
• List of new C&C server

スパイウェアは、以下の情報を収集します。

• Host Name
• Public IP Address
• Computer Name
• OS Version
• OS Platform
• User Accounts
• System Info(CPU, Memory, No. of Processors)
• Installed programs
• Services

その他

スパイウェアは、以下のWebサイトにアクセスしてインターネット接続を確認します。

• google.com
• microsoft.com

スパイウェアは、以下のWebサイトにアクセスして感染コンピュータのIPアドレスを収集します。

• http://icanhazip.com

スパイウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• http://{BLOCKED}.{BLOCKED}.220.8:443
• http://{BLOCKED}.{BLOCKED}.226.85:443
• http://{BLOCKED}.{BLOCKED}.63.98:443
• http://{BLOCKED}.{BLOCKED}.73.130:443
• http://{BLOCKED}.{BLOCKED}.250.245:443
• http://{BLOCKED}.{BLOCKED}.48.147:443
• http://{BLOCKED}.{BLOCKED}.49.139:443
• http://{BLOCKED}.{BLOCKED}.49.162:443
• http://{BLOCKED}.{BLOCKED}.166.94:4443
• http://{BLOCKED}.{BLOCKED}.48.79:443
• http://{BLOCKED}.{BLOCKED}.50.124:4443
• http://{BLOCKED}.{BLOCKED}.201.9:443
• http://{BLOCKED}.{BLOCKED}.153.202:443
• http://{BLOCKED}.{BLOCKED}.91.90:443
• http://{BLOCKED}.{BLOCKED}.64.35:4443
• http://{BLOCKED}.{BLOCKED}.84.55:443
• http://{BLOCKED}.{BLOCKED}.142.66:443
• http://{BLOCKED}.{BLOCKED}.194.101:4443
• http://{BLOCKED}.{BLOCKED}.38.100:443
• http://{BLOCKED}.{BLOCKED}.154.180:4443
• http://{BLOCKED}.{BLOCKED}.77.76:443
• http://{BLOCKED}.{BLOCKED}.104.102:443
• http://{BLOCKED}.{BLOCKED}.34.245:443
• http://{BLOCKED}.{BLOCKED}.171.216:443
• http://{BLOCKED}.{BLOCKED}.58.42:4443
• http://{BLOCKED}.{BLOCKED}.60.93:4443
• http://{BLOCKED}.{BLOCKED}.135.106:4443
• http://{BLOCKED}.{BLOCKED}.179.197:443
• http://{BLOCKED}.{BLOCKED}.101.2:4443
• http://{BLOCKED}.{BLOCKED}.204.37:443
• http://{BLOCKED}.{BLOCKED}.165.182:443
• http://{BLOCKED}.{BLOCKED}.237.115:443
• http://{BLOCKED}.{BLOCKED}.143.60:443
• http://{BLOCKED}.{BLOCKED}.146.107:4443
• http://{BLOCKED}.{BLOCKED}.146.67:4443
• http://{BLOCKED}.{BLOCKED}.147.103:4443
• http://{BLOCKED}.{BLOCKED}.156.105:4443
• http://{BLOCKED}.{BLOCKED}.156.165:443
• http://{BLOCKED}.{BLOCKED}.156.216:4443
• http://{BLOCKED}.{BLOCKED}.57.164:4443
• http://{BLOCKED}.{BLOCKED}.228.117:4443
• http://{BLOCKED}.{BLOCKED}.174.25:443
• http://{BLOCKED}.{BLOCKED}.9.55:443
• http://{BLOCKED}.{BLOCKED}.4.60:443
• http://{BLOCKED}.{BLOCKED}.176.230:4443
• http://{BLOCKED}.{BLOCKED}.191.170:443
• http://{BLOCKED}.{BLOCKED}.63.207:443
• http://{BLOCKED}.{BLOCKED}.51.115:4443
• http://{BLOCKED}.{BLOCKED}.116.76:443
• http://{BLOCKED}.{BLOCKED}.45.149:443
• http://{BLOCKED}.{BLOCKED}.45.40:443
• http://{BLOCKED}.{BLOCKED}.241.26:443
• http://{BLOCKED}.{BLOCKED}.244.187:443

ただし、情報公開日現在、このWebサイトにはアクセスできません。

スパイウェア は、自身（コンピュータに侵入して最初に自身のコピーを作成した スパイウェア ）を削除します。

スパイウェアが作成する自身のコピーは以下のとおりです。

• %AppDataLocal%\{random filename}.exe(Windows Vistaおよびそれ以降のOSの場合)
• %Windows%\{random filename}.exe(Windows XPおよびそれ以前のOSの場合)

スパイウェアが作成するファイルは以下のとおりです。

• %System%\config\systemprofile\Application Data\{random filename}(Windows XPおよびそれ以前のOSの場合)
• %AppDataLocal%\{random filename}(Windows Vistaおよびそれ以降のOSの場合)

環境設定ファイルには含まれている情報は以下のとおりです。

• ネットバンキングや仮想通貨「Bitcoin（ビットコイン）」に関連する文字列のリスト
• 「Man-In-The-Middle（中間者）攻撃」のためのプロキシアドレス
• 新しいC&Cサーバのリスト

スパイウェアが収集する情報は以下のとおりです。

• ホスト名
• パブリックIPアドレス
• コンピュータ名
• OSのバージョン
• OSのプラットフォーム
• ユーザアカウント
• コンピュータ情報(CPUやメモリ、プロセッサの番号)
• インストールされたプログラム
• サービス

スパイウェアは、以下を実行します。

• 環境設定ファイルを受信（Webインジェクションおよび「Man in the Browser（MitB）攻撃」に利用）
• 新たな接続を受信　
• ファイルをダウンロードして、実行
• モジュールをダウンロード　(VNCおよびTV)
• ブラウザのスナップショット
• プロセスの終了
• ユーザの追加
• 「マスター・ブート・レコード（MBR）」を変更
• コンピュータのシャットダウンおよび再起動　
• 以下のブラウザを監視します。
  • chrome.exe
  • firefox.exe
  • iexplore.exe

スパイウェアは、以下の「Simple Traversal of UDP through NATs（STUN）」サーバに接続して、感染コンピュータのパブリックIPアドレスを特定します。

• stun1.voiceeclipse.net
• stun.callwithus.com
• stun.sipgate.net
• stun.ekiga.net
• stun.internetcalls.com
• stun.noc.ams-ix.net
• stun.voip.aebc.com
• stun.voipbuster.com
• stun.voxgratia.org
• stun.ipshka.com
• stun.faktortel.com.au
• stun.iptel.org
• stun.voipstunt.com
• 203.183.172.196:3478
• s1.taraba.net
• stun.l.google.com:19302
• stun1.l.google.com:19302
• stun2.l.google.com:19302
• stun3.l.google.com:19302
• stun4.l.google.com:19302
• stun.schlund.de
• stun.rixtelecom.se
• stun.voiparound.com
• numb.viagenie.ca
• stun.stunprotocol.org
• stun.services.mozilla.com
• stun.2talk.co.nz

スパイウェアは、以下のサービスを停止します。

• wscsvc
• MpsSvc
• WinDefend

スパイウェアは、以下のGETリクエストを送信します。

/2309us12/{Computer name}_{OS patform}.{BOTID}/{value}/{data/variable}/{BLOCKED}.{BLOCKED}.6.243/

スパイウェアは、POSTリクエストを送信して、インジェクションから収集した情報を送信します。

スパイウェアは、ルートキット機能を備えていません。

スパイウェアは、脆弱性を利用した感染活動を行いません。

---

  対応方法

ご利用はいかがでしたか？　アンケートにご協力ください