TSPY_URSNIF.I

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、ワーム活動の機能を備えていません。

スパイウェアは、バックドア活動の機能を備えていません。

スパイウェアは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、以下のファイルを作成し実行します。

• %User Temp%\{random folder name}\{random filename}.bat ← used to execute copy and delete itself

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

スパイウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Application Data%\{string1}{string2}\{string1}{string2}.exe
  where:
  {string1} = first four letters of a dll file under %System% directory
  {string2} = last four letters of a dll file under %System% directory

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

スパイウェアは、以下のフォルダを作成します。

• %Application Data%\{string1}{string2}
  where:
  {string1} = first four letters of a dll file under %System% directory
  {string2} = last four letters of a dll file under %System% directory

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

スパイウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• Local\{GUID}

スパイウェアは、以下のプロセスにコードを組み込みます。

• explorer.exe
• opera.exe
• chrome.exe
• iexplore.exe
• firefox.exe

スパイウェアは、自身（コンピュータに侵入して最初に自身のコピーを作成したスパイウェア）を終了し、侵入したコンピュータ内で作成した自身のコピーの方を実行します。

自動実行方法

スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{string1}{string2} = %Application Data%\{string1}{string2}\{string1}{string2}.exe

他のシステム変更

スパイウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\AppDataLow\
Software\Microsoft\{GUID}

HKEY_CURRENT_USER\Software\AppDataLow\
Software\Microsoft\{GUID}\
Vars

HKEY_CURRENT_USER\Software\AppDataLow\
Software\Microsoft\{GUID}\
Files

HKEY_CURRENT_USER\Software\AppDataLow\
Software\Microsoft\{GUID}\
Config

スパイウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\AuthorizedApplications\
List
%Windows%\explorer.exe = "%Windows%\explorer.exe:*:Enabled:Windows Explorer"

HKEY_CURRENT_USER\Software\AppDataLow\
Software\Microsoft\{GUID}
{Value Name} = "{hex value}"
where {Value Name} may be any of the following:

• Main
• Block
• Temp
• Client
• Ini
• Keys
• Scr
• Install
• LastTask
• LastConfig
• CrHook
• OpHook
• Exec
• NetCfg
• LastIni

感染活動

スパイウェアは、ワーム活動の機能を備えていません。

バックドア活動

スパイウェアは、バックドア活動の機能を備えていません。

作成活動

スパイウェアは、収集した情報を保存するために以下のファイルを作成します。

• %User Temp%\{random filename}.bin

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

情報漏えい

スパイウェアは、以下の情報を収集します。

• Computer Name
• Digital Certificates
• Cookies
• Keyboard Logs
• Clipboard Logs
• Captured Screenshot
• Email Credentials
• Running processes and services
• Installed device drivers
• Installed Programs
• System Information (Please see notes for more details)

その他

スパイウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• http://{domain}/images/{random path}.{gif/jpeg}
  where {domain} can be any of the following:
  • {BLOCKED}hteer.xyz
  • {BLOCKED}ron.club
  • {BLOCKED}aster.ru
  • {BLOCKED}98.com
  • {BLOCKED}ocoment99.com
  
  

モバイル端末を狙う不正プログラムの不正活動

スパイウェアは、HTTP POSTを介して以下のWebサイトに収集した情報を送信します。

• http://{domain}/images/{random path}.{bmp}
  where {domain} can be any of the following:
  • {BLOCKED}rshteer.xyz
  • {BLOCKED}rrtron.club
  • {BLOCKED}aster.ru
  • {BLOCKED}n98.com
  • {BLOCKED}coment99.com
  
  

スパイウェアが作成し実行する以下のファイルは、コピーの実行および自身の削除に利用されます。

• %User Temp%\{random folder name}\{random filename}.bat

スパイウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Application Data%\{string1}{string2}\{string1}{string2}.exe
  {string1} = %System%ディレクトリ下のDLLファイルの最初の4文字
  {string2} = %System%ディレクトリ下のDLLファイルの最後の4文字

スパイウェアは、感染したコンピュータ内に以下のフォルダを作成します。

• %Application Data%\{string1}{string2}
  {string1} = %System%ディレクトリ下のDLLファイルの最初の4文字
  {string2} = %System%ディレクトリ下のDLLファイルの最後の4文字

スパイウェアは、以下の情報を収集します。

• コンピュータ名
• デジタル証明書
• クッキー
• キーボードの記録
• クリップボードの記録
• スクリーンショットの取得
• Eメールの認証情報
• 実行中のプロセスおよびサービス
• インストールされたデバイスドライバ
• インストールされたプログラム
• コンピュータ情報

スパイウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• http://{domain}/images/{random path}.{gif/jpeg}
  {domain} には、以下のいずれかが当てはまります。
  • {BLOCKED}hteer.xyz
  • {BLOCKED}ron.club
  • {BLOCKED}aster.ru
  • {BLOCKED}98.com
  • {BLOCKED}ocoment99.com

スパイウェアは、HTTP POSTを介して以下のWebサイトに収集した情報を送信します。

• http://{domain}/images/{random path}.{bmp}
  {domain} には、以下のいずれかが当てはまります。
  • {BLOCKED}rshteer.xyz
  • {BLOCKED}rrtron.club
  • {BLOCKED}aster.ru
  • {BLOCKED}n98.com
  • {BLOCKED}coment99.com

スパイウェアは、以下を実行します。

• 窃取した情報をファイルに保存およびアップロード
• インターネット閲覧の監視
• 対象のプロセスのAPIをフック
• Mozilla FirefoxのSPDYプロトコルの無効化
• 情報収集を目的とした以下のコマンドの実行
  • systeminfo.exe
  • tasklist.exe /SVC
  • driverquery.exe
  • reg.exe query "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall"
• 自身のアンインストール

ファイル”systeminfo.exe”は、以下のコンピュータの情報を返します。

• ホスト名
• OS の名称, バージョン, 製造元, 構成およびビルドの種類
• 登録されている所有者および組織
• 製品ID
• 最初にOSがインストールされた日
• コンピュータの稼働可能な時間
• コンピュータの製造元、モデルおよび種類
• プロセッサ
• BIOS バージョン
• Windows およびシステム のディレクトリ
• 起動デバイス
• システムおよび入力ロケール
• タイムゾーン
• 総メモリ容量および利用可能なメモリ容量
• 仮想メモリの情報 (最大、利用可能、使用中)
• ページ ファイルの場所
• ドメイン
• ログオンサーバ
• ホットフィックス
• ネットワークカード

スパイウェアは、ルートキット機能を備えていません。

スパイウェアは、脆弱性を利用した感染活動を行いません。