TSPY_TINBA.A

2012年10月9日

解析者: Mark Joseph Manahan

プラットフォーム:

Windows 2000, Windows XP, Windows Server 2003

危険度:

感染確認数:

システムへの影響:

情報漏えい:

マルウェアタイプ: スパイウェア
破壊活動の有無: なし
暗号化:
感染報告の有無: はい

概要

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

詳細

ファイルサイズ 18,432 bytes

タイプ EXE

発見日 2012年6月2日

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、異なるファイル名を用いて以下のフォルダ内に自身のコピーを作成します。

%Application Data%\default\bin.exe

(註：%Application Data%フォルダは、 Windows 2000、XP、Server 2003 の場合 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" 、 Windows NTの場合 "C:\WINNT\Profiles\＜ユーザ名＞\Application Data"、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞\Application Data" です。)

自動実行方法

スパイウェアは、作成されたコンポーネントがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
default = "%Application Data%\default\bin.exe"

他のシステム変更

スパイウェアは、以下のレジストリキーを変更します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
Zones\3
1609 = "dword:0"

(註：変更前の上記レジストリ値は、「"dword:1"」となります。)

その他

スパイウェアは、以下の不正なWebサイトにアクセスします。

{BLOCKED}zanadinoar.com
{BLOCKED}powadoar.com
{BLOCKED}powadoar.com