TSPY_GEDDEL.EVL

スパイウェアは、他のマルウェアに作成され、コンピュータに侵入します。

スパイウェアは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

スパイウェアは、以下のマルウェアに作成され、コンピュータに侵入します。

• TROJ_ARTIEF.FU
• TROJ_MDROP.GDL

インストール

スパイウェアは、以下のファイルを作成します。

• %System Root%\Documents and Settings\All Users\Application Data\Windows NT\NtHelpConfig.log - encrypted component
• %System Root%\Documents and Settings\All Users\Application Data\Windows NT\NtHelpIndex.sbr - encrypted component
• %System Root%\Documents and Settings\All Users\Application Data\Windows NT\NtHelpKey.cfg - encrypted component
• %System Root%\Documents and Settings\All Users\Application Data\Windows NT\NtHelpKey.sbr - encrypted component

(註：%System Root%は、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。)

スパイウェアは、以下のコンポーネントファイルを作成します。

• %System Root%\WINDOWS\fxsst.dll - also detected as TSPY_GEDDEL.EVL
• %System Root%\Documents and Settings\All Users\Application Data\Windows NT\common.cfg - encrypted binary component. When decrypted, it is also detected as TSPY_GEDDEL.EVL

(註：%System Root%は、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。)

スパイウェアは、以下のプロセスを追加します。

• explorer.exe

スパイウェアは、以下のフォルダを作成します。

• %System Root%\Documents and Settings\All Users\Application Data\Windows NT
• %System Root%\Documents and Settings\All Users\Application Data\Windows NT\Support

(註：%System Root%は、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。)

スパイウェアは、以下のプロセスに自身を組み込み、システムのプロセスに常駐します。

• explorer.exe

プロセスの終了

スパイウェアは、感染コンピュータ上でプロセスが常駐されていることを確認した場合、以下のいずれかの文字列を含むプロセスまたはサービスを終了します。

• ccsvchst
• sfctlcom
• ravmond
• mpmon
• twister
• vsmon
• Mupage
• KSafeSvc
• avguard.exe

その他

スパイウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• 1.test.{BLOCKED}2.org.cn
• 2.test.{BLOCKED}2.org.cn
• 3.test.{BLOCKED}2.org.cn
• 4.test.{BLOCKED}2.org.cn
• 123ewqasdcxz.{BLOCKED}p.net
• hoop-america.{BLOCKED}p.net

スパイウェアは、開いているウィンドウやユーザのキー入力操作情報を記録し、情報を収集します。そして、収集した情報を以下のファイルに保存します。

• %System Root%\Documents and Settings\All Users\Application Data\Windows NT\Support\＜数値＞.kb

(註：%System Root%は、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。)

スパイウェアが作成する以下のファイルは、暗号化されたコンポーネントです。

• %System Root%\Documents and Settings\All Users\Application Data\Windows NT\NtHelpConfig.log
• %System Root%\Documents and Settings\All Users\Application Data\Windows NT\NtHelpIndex.sbr
• %System Root%\Documents and Settings\All Users\Application Data\Windows NT\NtHelpKey.cfg
• %System Root%\Documents and Settings\All Users\Application Data\Windows NT\NtHelpKey.sbr

スパイウェアが作成する以下のコンポーネントファイルは、このスパイウェアとして検出されます。

• %System Root%\WINDOWS\fxsst.dll

スパイウェアが作成する以下のコンポーネントファイルは、暗号化されたバイナリコンポーネントです。復号化されるとこのスパイウェアとして検出されます。

• %System Root%\Documents and Settings\All Users\Application Data\Windows NT\common.cfg