Windows
トレンドマイクロは、このスパイウェアをNoteworthy(要注意)に分類しました。
これは、情報を収集する「URSNIF」の亜種に関連する感染したEXEファイルおよびPDFファイルの検出名です。「PE_URSNIF.A-O」として検出されるこの情報を収集する感染マルウェアは、米国や英国といった国で影響を与えています。
侵入方法
スパイウェアは、以下の方法でコンピュータに侵入します。
インストール
スパイウェアは、以下のフォルダを追加します。
(註:%All Users Profile%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\All Users”、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\ProgramData” です。.)
スパイウェアは、以下のファイルを作成します。
(註:%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.. %Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\<ユーザ名>\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\<ユーザ名>\AppData\Roaming" です。.)
スパイウェアのDLLコンポーネントは、以下のプロセスに組み込まれます。
自動実行方法
スパイウェアは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリ値を追加します。
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\wsauth
ImagePath = "%System%\wsauth.exe -s"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\wsauth
DisplayName = "Windows Software Protection"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\wsauth
Description = "This windows service enables the download, installation and enforcement of digital licenses for Windows and Windows applications. If the service is disabled, the operating system and licensed applications may run in a notification mode. It is strongly recommended that you not disable the Software Protection Service."
スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。
HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
dumpnsta = "%Application Data%\SoftwareProtectionPlatform\sppc.exe"
スパイウェアは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリキーを追加します。
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\wsauth
ファイル感染
スパイウェアは、以下のファイルに感染します。
It infects these files found in all removable and network drives
これは、トレンドマイクロの製品では、以下 により感染したファイルの検出名です。
感染活動
スパイウェアは、以下のドライブ内に自身のコピーを作成します。
スパイウェアは、ネットワークドライブ内に以下のように自身のコピーを作成します。
スパイウェアは、すべてのリムーバブルドライブ内に以下として自身のコピーを作成します。
情報漏えい
スパイウェアは、以下の情報を収集します。
情報収集
スパイウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。
その他
スパイウェアは、「PE_URSNIF.A-O」によって感染することで、コンピュータに侵入します。
スパイウェアは、「PE_URSNIF.A-O」として検出される親ファイルを作成します。
スパイウェアは、以下のファイルに感染します。
スパイウェアは、すべてのリムーバブルドライブおよびネットワークドライブ内のこれらのファイルに感染します。
スパイウェアは、以下のドライブ内に自身のコピーを作成します。
スパイウェアが収集する情報は以下のとおりです。
スパイウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。
これは、トレンドマイクロの製品では、感染コンピュータの無害PDFファイルを含む「PE_URSNIF.A-O」に感染した検出名となります。
スパイウェアは、以下を実行します。
(Note: %User Temp% is the user's temporary folder, where it usually is C:\Documents and Settings\{user name}\Local Settings\Temp on Windows 2000, Windows Server 2003, and Windows XP (32- and 64-bit); C:\Users\{user name}\AppData\Local\Temp on Windows Vista (32- and 64-bit), Windows 7 (32- and 64-bit), Windows 8 (32- and 64-bit), Windows 8.1 (32- and 64-bit), Windows Server 2008, and Windows Server 2012.)
スパイウェアは、コマンドプロンプト上にコマンドを送り、窃取した情報を収集します。
Systeminfoは、以下のコンピュータ情報を返します。
収集された情報は、一時ファイル"%User Temp%\~{random}.tmp"に保存されます。このファイルは、収集した情報のダンプおよびログファイルとして機能を果たします。このファイルが自身のコマンド&コントロール(C&C)サーバに送信された後、スパイウェアはこのファイルを削除します。
手順 1
Windows XP、Windows Vista および Windows 7 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。
手順 2
このマルウェアもしくはアドウェア等の実行により、手順中に記載されたすべてのファイル、フォルダおよびレジストリキーや値がコンピュータにインストールされるとは限りません。インストールが不完全である場合の他、オペレーティングシステム(OS)の条件によりインストールがされない場合が考えられます。手順中に記載されたファイル/フォルダ/レジストリ情報が確認されない場合、該当の手順の操作は不要ですので、次の手順に進んでください。
手順 3
「PE_URSNIF.A2」 が作成またはダウンロードした不正なファイルを削除します。(註:以下のマルウェアもしくはアドウェア等がすでに削除されている場合は、本手順は行う必要はありません。)
手順 4
Windowsをセーフモードで再起動します。
手順 5
以下のレジストリキーを削除します。
警告:レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。レジストリの編集前にこちらをご参照ください。
手順 6
このレジストリ値を削除します。
警告:レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。
手順 7
以下のフォルダを検索し削除します。
手順 8
以下のファイルを検索し削除します。
手順 9
コンピュータを通常モードで再起動し、最新のバージョン(エンジン、パターンファイル)を導入したウイルス対策製品を用い、「PE_URSNIF.A2」と検出したファイルの検索を実行してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。