• Email
• Facebook
• Twitter
• Google+
• Linkedin

TSPY_SPYEYE.WEC

---

• マルウェアタイプ: スパイウェア
• 破壊活動の有無: なし
• 暗号化: はい
• 感染報告の有無: はい

---

  概要

スパイウェアは、リモートサイトから他の不正プログラムにダウンロードされ、コンピュータに侵入します。

スパイウェアは、ルートキット機能を備えており、自身に関連したプロセスおよびファイルを隠匿し、ユーザによる検出および削除を避けます。

スパイウェアは、Internet Explorer（IE）のゾーン設定を変更します。

スパイウェアは、特定の銀行および金融機関のWebサイトで利用されるユーザ名やパスワードなどの個人情報を収集します。

スパイウェア マルウェアは、自身（コンピュータに侵入して最初に自身のコピーを作成した スパイウェア ）を削除します。

---

  詳細

侵入方法

スパイウェアは、以下のリモートサイトからダウンロードされコンピュータに侵入します。

• http://{BLOCKED}-college.de/Webformulare/documentus.exe

スパイウェアは、リモートサイトから以下の不正プログラムによりダウンロードされ、コンピュータに侵入します。

• TROJ_SPYEYE.WEC

インストール

スパイウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %System Root%\Config.Msi\9A0EE2865BC.exe

(註：%System Root%は、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。)

スパイウェアは、以下のファイルを作成します。

• %System Root%\Config.Msi\CC6BCC177056B0C - encrypted configuration file

(註：%System Root%は、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。)

スパイウェアは、以下のフォルダを作成します。

• %System Root%\Config.Msi

(註：%System Root%は、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。)

スパイウェアは、自身（コンピュータに侵入して最初に自身のコピーを作成したスパイウェア）を終了し、侵入したコンピュータ内で作成した自身のコピーの方を実行します。

自動実行方法

スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
9U7F2A5A0GVX1VWYRTE = "%System Root%:\Config.Msi\9A0EE2865BC.exe /q"

他のシステム変更

スパイウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Microsoft Windows

スパイウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\PhishingFilter
EnabledV8 = 0

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\PhishingFilter
ShownServiceDownBalloon = 0

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Recovery
ClearBrowsingHistoryOnExit = 0

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings
ProxyHttp1.1 = 1

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings
WarnOnPostRedirect = 0

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings
WarnOnIntranet = 0

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings
GlobalUserOffline = 0

ルートキット機能

スパイウェアは、ルートキット機能を備えており、自身に関連したプロセスおよびファイルを隠匿し、ユーザによる検出および削除を避けます。

Webブラウザのホームページおよび検索ページの変更

スパイウェアは、IEのゾーン設定を変更します。

情報漏えい

スパイウェアは、以下のWebサイトを対象とします。

• https://*.royalbank.com/cgi-bin/*
• http://rankgitter24.de/assets/rbc/index.html
• https://www.accountonline.com/cards/svc/Dashboard.do*
• https://online.citibank.com/US/*
• *discovercard.com/cardmembersvcs/strongauth/app/sa_main*
• *my.ebay.com/ws/eBayISAPI.dll?MyEbay*
• *oltx.fidelity.com/*/*/ofsummary/summary*
• https://secure.ingdirect.com/myaccount/INGDirect/*
• https://accounts.key.com/*
• *onlinebanking.mandtbank.com/summary/AccountSummary*
• https://securebank.regions.com/*
• https://trading.scottrade.com/*
• https://onlinebanking.tdbank.com/login*
• *usbank.com/internetBanking/RequestRouter?requestCmdId=G*
• https://www.vancity.com/*
• *wachovia.com*
• https://www.scotiaonline.scotiabank.com/portal/index.jsp?pageID=financial_services_banking*
• https://accesd.desjardins.com/*Operations/*
• https://www.txn.banking.pcfinancial.ca/a/banking/*
• https://www.hsbc.ca/1/2/!ut/p/c1/*
• http*://*wellsfargo.com/*
• http*easywebsoc.td.com*
• http*://*suntrust.com/*
• http*pnc.com*
• http*cibconline.cibc.com*
• http*://*chase.com/*
• http*capitalone.com*
• http*bmo.com*
• http*://*bankofamerica.com/*
• *online.wellsfargo.com/das/cgi-bin/session.cgi*
• https://*usbank.com/internetBanking/RequestRouterL
• https://easyweb*.tdcanadatrust.com/servlet/*FinancialSummaryServlet*
• *online.wellsfargo.com/das/cgi-bin/session.cgi*
• *bankofamerica.com/cgi-bin/*GotoWelcomeL
• *suntrust.com/portal/server.pt?mode=*L
• *onlinebanking.tdbank.com/accts/getAccts.aspL
• https://*citibank.com/*BS_Id=MemberHomepage*
• https://*.wachovia.com/myAccounts.aspx*
• *www1.royalbank.com/cgi-bin/rbaccess/rbcgi3m01*
• *cibconline.cibc.com/olbtxn/accounts/*
• https://chaseonline.chase.com/MyAccounts.aspx
• https://chaseonline.chase.com/MyAccounts.aspx
• *bankofamerica.com/cgi-bin/*GotoWelcomeL
• https://www.moneybookers.com/app/login.pl*
• *paypal.com* */
• h*paypal.com/us/cgi-bin/webscr?cmd=_login-done&login_access=*
• *paypal*
• *royalbank.com/cgi-bin/rbaccess/rbcgi*L
• *royalbank.com/wps/myportal/OLB/!ut/*/*/*L
• http*://*royalbank.com/wps/myportal/OLB/!ut/*/*/*
• *royalbank.com/cgi-bin/rbaccess/rbcgi*L
• *royalbank.com/cgi-bin/rbaccess/rbcgi*L
• *royalbank.com/wps/myportal/OLB/!ut/*L
• *royalbank.com/wps/myportal/OLB/!ut/*L

スパイウェアは、以下の銀行もしくは金融機関で利用される個人情報を収集します。

• Royal Bank of Canada
• CitiBank
• Discover Bank
• Ebay
• Fidelity
• Ing Direct
• Key Bank
• M&T Bank
• Regions
• Scottrade
• TD Bank
• U.S. Bank
• Vancity
• Wachovia
• Scotiabank
• Desjardins
• President's Choice Financial
• HSBC
• Wells Fargo
• SunTrust Bank
• CIBC
• JPMorgan Chase & Co.
• Bank of America
• Moneybookers
• Paypal

情報収集

スパイウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

• http://{BLOCKED}.113.194/test/logout.php
• http://{BLOCKED}arbuz.net/test/logout.php

その他

スパイウェア は、自身（コンピュータに侵入して最初に自身のコピーを作成した スパイウェア ）を削除します。

---

  対応方法

ご利用はいかがでしたか？　アンケートにご協力ください