PE_URSNIF.A1

トレンドマイクロは、このスパイウェアをNoteworthy（要注意）に分類しました。

これは、感染したMSIファイルの検出名です。MSIファイルは、情報を収集する「URSNIF」の亜種に関連しています。情報を収集するファイル感染ウイルス（「PE_URSNIF.A-O」として検出）は、米国や英国といった国に影響を与えています。

これは、トレンドマイクロの製品では、特定の不正活動を実行するファイルの検出名となります。

侵入方法

ウイルスは、以下の方法でコンピュータに侵入します。

• infected by PE_URSNIF.A-O

インストール

ウイルスは、以下のフォルダを追加します。

• %All Users Profile%\Application Data\SoftwareProtectionPlatform

(註：%All Users Profile%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\All Users”、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\ProgramData” です。.)

ウイルスは、以下のファイルを作成します。

• %Application Data%\SoftwareProtectionPlatform\sppc.exe - mother file detected as PE_URSNIF.A-O
• %System%\wsauth.exe - mother file detected as PE_URSNIF.A-O

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.. %System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

ウイルスのDLLコンポーネントは、以下のプロセスに組み込まれます。

• explorer.exe
• iexplore.exe
• firefox.exe
• chrome.exe
• services.exe

自動実行方法

ウイルスは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\wsauth
ImagePath = "%System%\wsauth.exe -s"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\wsauth
DisplayName = "Windows Software Protection"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\wsauth
Description = "This windows service enables the download, installation and enforcement of digital licenses for Windows and Windows applications. If the service is disabled, the operating system and licensed applications may run in a notification mode. It is strongly recommended that you not disable the Software Protection Service."

ウイルスは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
dumpnsta = "%Application Data%\SoftwareProtectionPlatform\sppc.exe"

ウイルスは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\wsauth

ファイル感染

ウイルスは、以下のファイルに感染します。

• *.pdf - detected as PE_URSNIF.A1
• *.msi - detected as PE_URSNIF.A2
• setup.exe

  It infects these files in all removable and network drives

これは、トレンドマイクロの製品では、以下 により感染したファイルの検出名です。

• PE_URSNIF.A-O

感染活動

ウイルスは、以下のドライブ内に自身のコピーを作成します。

• removable drives
• network drives

ウイルスは、ネットワークドライブ内に以下のように自身のコピーを作成します。

• {drive letter}:\Temp.exe

ウイルスは、すべてのリムーバブルドライブ内に以下として自身のコピーを作成します。

• {drive letter}:\Temp.exe

情報漏えい

ウイルスは、以下の情報を収集します。

• System Information (Please see notes for more details)
• Running processes and services
• Installed device drivers
• Programs installed
• Screenshots

情報収集

ウイルスは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

• where {domain} can be any of the following:
  • com
  • net
  • org
  • info
• http://{random letters}.{domain}/pki/mscorp/crl/msiwww2.crl
• http://{random letters}.{domain}/pki/mscorp/crl/MSIT%20Machine%20Auth%20CA%202(1).crl

その他

これは、トレンドマイクロの製品では、以下の検出名となります。

• Infected PE_URSNIF.A-O containing the non-malicious PDF file from the affected system

スパイウェアは、「PE_URSNIF.A-O」によって感染することで、コンピュータに侵入します。

スパイウェアは、「PE_URSNIF.A-O」として検出される親ファイルを作成します。

• %Application Data%\SoftwareProtectionPlatform\sppc.exe
• %System%\wsauth.exe

スパイウェアは、以下のファイルに感染します。

• *.pdf（「PE_URSNIF.A1」として検出）
• *.msi（「PE_URSNIF.A2」として検出）
• setup.exe

スパイウェアは、すべてのリムーバブルドライブおよびネットワークドライブ内のこれらのファイルに感染します。

スパイウェアは、以下のドライブ内に自身のコピーを作成します。

• リムーバブルドライブ
• ネットワークドライブ

スパイウェアが収集する情報は以下のとおりです。

• コンピュータ情報 (詳細はその他をご覧下さい。)
• 実行中のプロセスおよびサービス
• インストールされたデバイスドライバ
• インストールされたプログラム
• スクリーンショット

スパイウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

• {domain}には以下のいずれかがあてはまります。
  • com
  • net
  • org
  • info
• http://{random letters}.{domain}/pki/mscorp/crl/msiwww2.crl
• http://{random letters}.{domain}/pki/mscorp/crl/MSIT%20Machine%20Auth%20CA%202(1).crl

これは、トレンドマイクロの製品では、感染コンピュータの無害PDFファイルを含む「PE_URSNIF.A-O」に感染した検出名となります。

スパイウェアは、以下を実行します。

• スパイウェアは、DLLコンポーネントが"IEXPLORE.EXE"に読み込まれる際に、以下の"WININET.DLL"のエクスポートされた関数をフックし、ネットワークトラフィックを監視します。
  • HttpOpenRequestA
  • HttpOpenRequestW
  • HttpSendRequestA
  • HttpSendRequestW
  • HttpQueryInfoA
  • HttpQueryInfoW
  • InternetReadFile
  • InternetReadFileExA
  • InternetReadFileExW
  • InternetQueryDataAvailable
• スパイウェアは、DLLコンポーネントが"FIREFOX.EXE"に読み込まれる際に、以下の"NSS3.DLL"または"NSPR4.DLL"のエクスポートされた関数をフックし、ネットワークトラフィックを監視します。
  • PR_Read
  • PR_Write
  • PR_Close
  • PR_Poll
  • PR_Available
• スパイウェアは、DLLコンポーネントが"CHROME.EXE"に読み込まれる際に、"CHROME.DLL"によってエクスポートされる無名の関数をフックし、ネットワークトラフィックを監視します。
• "CHROME.DLL"が確認されない場合は、"KERNEL32.DLL"によってエクスポートされる以下のAPIをフックします。
  • LoadLibraryA
  • LoadLibraryW
  • LoadLibraryExA
  • LoadLibraryExW
• スパイウェアは、一時ファイル"%User Temp%\~{random}.tmp"を作成して、実行します。このファイルは、自身に埋め込まれたDLLコンポーネントを上述のプロセスに組み込みます。一時ファイルはその後、終了し削除されます。この作成されたコンポーネントは「TSPY_URSNIF.SM3」として検出されます。

(Note: %User Temp% is the user's temporary folder, where it usually is C:\Documents and Settings\{user name}\Local Settings\Temp on Windows 2000, Windows Server 2003, and Windows XP (32- and 64-bit); C:\Users\{user name}\AppData\Local\Temp on Windows Vista (32- and 64-bit), Windows 7 (32- and 64-bit), Windows 8 (32- and 64-bit), Windows 8.1 (32- and 64-bit), Windows Server 2008, and Windows Server 2012.)

スパイウェアは、コマンドプロンプト上にコマンドを送り、窃取した情報を収集します。

• systeminfo
• tasklist /SVC (プロセスおよびサービスを列挙)
• driverquery (インストールされたドライバー上の情報を収集)
• reg.exe query "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall" /s (インストールされたプログラムを収集)

Systeminfoは、以下のコンピュータ情報を返します。

• ホスト名
• オペレーティングシステム（OS）名およびバージョン、 製造者、環境設定、製造タイプ
• 登録された所有者および企業
• 製品ID
• 最初のインストール日
• コンピュータの動作可能時間
• コンピュータの製造者およびモデル、タイプ
• プロセッサ
• BIOSのバージョン
• Windowsおよびコンピュータのディレクトリ
• ブート装置
• コンピュータの入力ロケール
• タイムゾーン
• 総メモリ量と利用可能なメモリ量
• 仮想メモリの情報(最大,利用可能,使用中)
• ページファイルの位置
• ドメイン
• ログオンサーバ
• ホットフィックス
• ネットワークカード

収集された情報は、一時ファイル"%User Temp%\~{random}.tmp"に保存されます。このファイルは、収集した情報のダンプおよびログファイルとして機能を果たします。このファイルが自身のコマンド&コントロール（C&C）サーバに送信された後、スパイウェアはこのファイルを削除します。