TSPY_SHIZ.MV
Windows
- マルウェアタイプ: スパイウェア
- 破壊活動の有無: なし
- 暗号化: はい
- 感染報告の有無: はい
概要
スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。
スパイウェアは、ワーム活動の機能を備えていません。
スパイウェアは、Internet Explorer(IE)のゾーン設定を変更します。
スパイウェアは、特定のWebサイトにアクセスし、情報を送受信します。
詳細
侵入方法
スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。
インストール
スパイウェアは、以下のファイルを作成します。
- %User Temp%\{Random Hex Values} -> Contains the filename of the malware's dropped copy
- %User Temp%\{Random Characters 2}.tmp.bat
- %Application Data%\{Random Characters 1}\1_info.txt
- %Application Data%\{Random Characters 1}\1_cert.pfx
- %Application Data%\{Random Characters 1}\cmdline.txt
- %Application Data%\{Random Characters 3}.tmp
- %Application Data%\{Random Characters 4} -> Contains logs of running applications and accessed applications
- %Application Data%\sysinfo.txt -> Contains System Information (such as Running Processes, Network Status, Network Users)
- %Application Data%\keylog.txt
(註:%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\<ユーザー名>\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\<ユーザ名>\AppData\Local\Temp" です。.. %Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\<ユーザ名>\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\<ユーザ名>\AppData\Roaming" です。.)
スパイウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。
- %ProgramData%\{Random Filename}.exe -> detected as TSPY_SHIZ.MV
(註:%ProgramData%フォルダは、Windows Vista および 7 の場合、通常、"C:\ProgramData"、Windows 2000、XP (32ビット)、Server 2003 の場合、"C:\Program Files"、Windows XP (64ビット) の場合、"C:\Program Files (x86)" です。)
スパイウェアは、以下のプロセスにコードを組み込みます。
- explorer.exe
自動実行方法
スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。
HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
IntelPowerAgent{random} = rundll32.exe shell32.dll, ShellExec_RunDLL %ProgramData%\{Random Filename}.exe
感染活動
スパイウェアは、ワーム活動の機能を備えていません。
Webブラウザのホームページおよび検索ページの変更
スパイウェアは、IEのゾーン設定を変更します。
情報収集
スパイウェアは、以下のファイル内に収集した情報を保存します。
- %Application Data%\{Random Characters 3}.tmp - zip file of all files of all collected information in the system
(註:%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\<ユーザ名>\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\<ユーザ名>\AppData\Roaming" です。.)
その他
スパイウェアは、以下のWebサイトにアクセスしてインターネット接続を確認します。
- microsoft.com
- twitter.com
- sendspace.com
- google.com
- instagram.com
- github.com
- python.org
- etrade.com
- yandex.ru
- icloud.com
- facebook.com
- dropbox.com
スパイウェアは、以下のWebサイトにアクセスし、情報を送受信します。
- http://{BLOCKED}tem.eu/news/userlogin.php -> URL inaccessible
スパイウェアが作成する以下のファイルには、スパイウェアが作成したコピーのファイル名を含みます。
- %User Temp%\{Random Hex Values}
スパイウェアが作成する以下のファイルには、実行中のアプリケーションおよびアクセスされたアプリケーションのログを含みます。
- %Application Data%\{Random Characters 4}
スパイウェアが作成する以下のファイルには、実行中のプロセス、ネットワークステータス、ネットワークユーザといったコンピュータ情報が含まれます。
- %Application Data%\sysinfo.txt
スパイウェアが作成し実行する以下のファイルは、「TSPY_SHIZ.MV」として検出されます。
- %ProgramData%\{Random Filename}.exe
以下のファイルは、収集したコンピュータ情報のファイルすべてを保存したZIPファイルです。
- %Application Data%\{Random Characters 3}.tmp
スパイウェアは以下を実行します。
- キー入力操作情報の記録
- コンピュータ情報の収集
- アクティブなプロセス
- ネットワークトラフィック
- ネットワークユーザ
- ログインユーザ名やパスワードなどブラウザに入力された個人情報の収集
- 作成されたファイルの位置情報およびそのCRCチェックサムの収集
- インストールされたコンピュータ証明書についての情報の収集
- インストールされたセキュリティ対策製品についての情報の収集
- ビットコインやアルトコインのウォレットについての情報の収集
- スクリーンショットの取得
- %Application Data%下のすべてのファイルおよびフォルダの削除
- スパイウェアはデバッグされた場合、自身を終了します。
- 以下のプロセスが確認された場合、マルウェアは自身を終了します。
- vmtoolsd.exe スパイウェアが仮想環境下で実行された場合
- 以下のファイルが確認された場合、スパイウェアは自身を終了します。
- c:\analysis\sandboxstarter.exe
- c:\analysis
- c:\insidetm
- %Systems%\drivers\vmmouse.sys
- %Systems%\drivers\vmhgfs.sys
- %Systems%\drivers\vboxmouse.sys
- 以下のDLLファイルが読み込まれた場合、スパイウェアは自身を終了します。
- dbghelp.dll (vmware)
- api_log.dll (SunBelt SandBox)
- dir_watch.dll (SunBelt SandBox)
- pstorec.dll (SunBelt Sandbox)
- 以下のDLLファイルが読み込まれた場合、スパイウェアはスリープします。
- sbiedll.dll (Sandboxie)
- ユーザ名またはコンピュータ名が以下である場合、スパイウェアは自身を終了します。
- SANDBOX
- FORTINET
- スパイウェアは、POSTをコマンド&コントロール(C&C)サーバに送信後、収集したすべての情報を含むファイルや、ZIPファイル、”%Application Data%\{Random Characters 3}.tmp”を削除します。
スパイウェアは、ルートキット機能を備えていません。
スパイウェアは、、脆弱性を利用した感染活動を行いません。
対応方法
手順 1
Windows XP、Windows Vista および Windows 7 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。
手順 2
このマルウェアもしくはアドウェア等の実行により、手順中に記載されたすべてのファイル、フォルダおよびレジストリキーや値がコンピュータにインストールされるとは限りません。インストールが不完全である場合の他、オペレーティングシステム(OS)の条件によりインストールがされない場合が考えられます。手順中に記載されたファイル/フォルダ/レジストリ情報が確認されない場合、該当の手順の操作は不要ですので、次の手順に進んでください。
手順 3
Windowsをセーフモードで再起動します。
手順 4
このレジストリ値を削除します。
警告:レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。
- In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
- IntelPowerAgent{random} = rundll32.exe shell32.dll, ShellExec_RunDLL %ProgramData%\{Random Filename}.exe
- IntelPowerAgent{random} = rundll32.exe shell32.dll, ShellExec_RunDLL %ProgramData%\{Random Filename}.exe
手順 5
以下のファイルを検索し削除します。
- %User Temp%\{Random Hex Values}
- %User Temp%\{Random Characters 2}.tmp.bat
- %Application Data%\{Random Characters 1}\1_info.txt
- %Application Data%\{Random Characters 1}\1_cert.pfx
- %Application Data%\{Random Characters 1}\cmdline.txt
- %Application Data%\{Random Characters 3}.tmp
- %Application Data%\{Random Characters 4}
- %Application Data%\sysinfo.txt
- %Application Data%\keylog.txt
手順 6
コンピュータを通常モードで再起動し、最新のバージョン(エンジン、パターンファイル)を導入したウイルス対策製品を用い、「TSPY_SHIZ.MV」と検出したファイルの検索を実行してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。
手順 7
Internet Explorer(IE)のセキュリティ設定を修正します。
ご利用はいかがでしたか? アンケートにご協力ください