PE_URSNIF.A2

トレンドマイクロは、このスパイウェアをNoteworthy（要注意）に分類しました。

これは、情報を収集する「URSNIF」の亜種に関連する感染したEXEファイルおよびPDFファイルの検出名です。「PE_URSNIF.A-O」として検出されるこの情報を収集する感染マルウェアは、米国や英国といった国で影響を与えています。

侵入方法

スパイウェアは、以下の方法でコンピュータに侵入します。

• MSI files infected by PE_URSNIF.A-O

インストール

スパイウェアは、以下のフォルダを追加します。

• %All Users Profile%\Application Data\SoftwareProtectionPlatform

(註：%All Users Profile%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\All Users”、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\ProgramData” です。.)

スパイウェアは、以下のファイルを作成します。

• %System%\wsauth.exe - mother file detected as PE_URSNIF.A-O
• %Application Data%\SoftwareProtectionPlatform\sppc.exe - mother file detected as PE_URSNIF.A-O

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.. %Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

スパイウェアのDLLコンポーネントは、以下のプロセスに組み込まれます。

• explorer.exe
• iexplore.exe
• firefox.exe
• chrome.exe
• services.exe

自動実行方法

スパイウェアは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\wsauth
ImagePath = "%System%\wsauth.exe -s"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\wsauth
DisplayName = "Windows Software Protection"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\wsauth
Description = "This windows service enables the download, installation and enforcement of digital licenses for Windows and Windows applications. If the service is disabled, the operating system and licensed applications may run in a notification mode. It is strongly recommended that you not disable the Software Protection Service."

スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
dumpnsta = "%Application Data%\SoftwareProtectionPlatform\sppc.exe"

スパイウェアは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\wsauth

ファイル感染

スパイウェアは、以下のファイルに感染します。

• *.pdf - detected as PE_URSNIF.A1
• *.msi - detected as PE_URSNIF.A2
• setup.exe

  It infects these files found in all removable and network drives

これは、トレンドマイクロの製品では、以下 により感染したファイルの検出名です。

• PE_URSNIF.A-O

感染活動

スパイウェアは、以下のドライブ内に自身のコピーを作成します。

• removable drives
• network drives

スパイウェアは、ネットワークドライブ内に以下のように自身のコピーを作成します。

• {drive letter}:\Temp.exe

スパイウェアは、すべてのリムーバブルドライブ内に以下として自身のコピーを作成します。

• {drive letter}:\Temp.exe

情報漏えい

スパイウェアは、以下の情報を収集します。

• System Information (Please see notes for more details)
• Running processes and services
• Installed device drivers
• Programs installed
• Screenshots

情報収集

スパイウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

• where {domain} can be any of the following:
  • com
  • net
  • org
  • info
• http://{random letters}.{domain}/pki/mscorp/crl/msiwww2.crl
• http://{random letters}.{domain}/pki/mscorp/crl/MSIT%20Machine%20Auth%20CA%202(1).crl

その他

スパイウェアは、「PE_URSNIF.A-O」によって感染することで、コンピュータに侵入します。

スパイウェアは、「PE_URSNIF.A-O」として検出される親ファイルを作成します。

• %Application Data%\SoftwareProtectionPlatform\sppc.exe
• %System%\wsauth.exe

スパイウェアは、以下のファイルに感染します。

• *.pdf（「PE_URSNIF.A1」として検出）
• *.msi（「PE_URSNIF.A2」として検出）
• setup.exe

スパイウェアは、すべてのリムーバブルドライブおよびネットワークドライブ内のこれらのファイルに感染します。

スパイウェアは、以下のドライブ内に自身のコピーを作成します。

• リムーバブルドライブ
• ネットワークドライブ

スパイウェアが収集する情報は以下のとおりです。

• コンピュータ情報 (詳細はその他をご覧下さい。)
• 実行中のプロセスおよびサービス
• インストールされたデバイスドライバ
• インストールされたプログラム
• スクリーンショット

スパイウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

• {domain}には以下のいずれかがあてはまります。
  • com
  • net
  • org
  • info
• http://{random letters}.{domain}/pki/mscorp/crl/msiwww2.crl
• http://{random letters}.{domain}/pki/mscorp/crl/MSIT%20Machine%20Auth%20CA%202(1).crl

これは、トレンドマイクロの製品では、感染コンピュータの無害PDFファイルを含む「PE_URSNIF.A-O」に感染した検出名となります。

スパイウェアは、以下を実行します。

• スパイウェアは、DLLコンポーネントが"IEXPLORE.EXE"に読み込まれる際に、以下の"WININET.DLL"のエクスポートされた関数をフックし、ネットワークトラフィックを監視します。
  • HttpOpenRequestA
  • HttpOpenRequestW
  • HttpSendRequestA
  • HttpSendRequestW
  • HttpQueryInfoA
  • HttpQueryInfoW
  • InternetReadFile
  • InternetReadFileExA
  • InternetReadFileExW
  • InternetQueryDataAvailable
• スパイウェアは、DLLコンポーネントが"FIREFOX.EXE"に読み込まれる際に、以下の"NSS3.DLL"または"NSPR4.DLL"のエクスポートされた関数をフックし、ネットワークトラフィックを監視します。
  • PR_Read
  • PR_Write
  • PR_Close
  • PR_Poll
  • PR_Available
• スパイウェアは、DLLコンポーネントが"CHROME.EXE"に読み込まれる際に、"CHROME.DLL"によってエクスポートされる無名の関数をフックし、ネットワークトラフィックを監視します。
• "CHROME.DLL"が確認されない場合は、"KERNEL32.DLL"によってエクスポートされる以下のAPIをフックします。
  • LoadLibraryA
  • LoadLibraryW
  • LoadLibraryExA
  • LoadLibraryExW
• スパイウェアは、一時ファイル"%User Temp%\~{random}.tmp"を作成して、実行します。このファイルは、自身に埋め込まれたDLLコンポーネントを上述のプロセスに組み込みます。一時ファイルはその後、終了し削除されます。この作成されたコンポーネントは「TSPY_URSNIF.SM3」として検出されます。

(Note: %User Temp% is the user's temporary folder, where it usually is C:\Documents and Settings\{user name}\Local Settings\Temp on Windows 2000, Windows Server 2003, and Windows XP (32- and 64-bit); C:\Users\{user name}\AppData\Local\Temp on Windows Vista (32- and 64-bit), Windows 7 (32- and 64-bit), Windows 8 (32- and 64-bit), Windows 8.1 (32- and 64-bit), Windows Server 2008, and Windows Server 2012.)

スパイウェアは、コマンドプロンプト上にコマンドを送り、窃取した情報を収集します。

• systeminfo
• tasklist /SVC (プロセスおよびサービスを列挙)
• driverquery (インストールされたドライバー上の情報を収集)
• reg.exe query "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall" /s (インストールされたプログラムを収集)

Systeminfoは、以下のコンピュータ情報を返します。

• ホスト名
• オペレーティングシステム（OS）名およびバージョン、 製造者、環境設定、製造タイプ
• 登録された所有者および企業
• 製品ID
• 最初のインストール日
• コンピュータの動作可能時間
• コンピュータの製造者およびモデル、タイプ
• プロセッサ
• BIOSのバージョン
• Windowsおよびコンピュータのディレクトリ
• ブート装置
• コンピュータの入力ロケール
• タイムゾーン
• 総メモリ量と利用可能なメモリ量
• 仮想メモリの情報(最大,利用可能,使用中)
• ページファイルの位置
• ドメイン
• ログオンサーバ
• ホットフィックス
• ネットワークカード

収集された情報は、一時ファイル"%User Temp%\~{random}.tmp"に保存されます。このファイルは、収集した情報のダンプおよびログファイルとして機能を果たします。このファイルが自身のコマンド&コントロール（C&C）サーバに送信された後、スパイウェアはこのファイルを削除します。