TSPY_AIBATOOK.AM

スパイウェアは、他のマルウェアまたはグレイウェアのパッケージとともにコンポーネントとして、コンピュータに侵入します。

スパイウェアは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

スパイウェアは、他のマルウェアまたはグレイウェアのパッケージとともにコンポーネントとして、コンピュータに侵入します。

インストール

スパイウェアは、以下のファイルを作成します。

• %System Root%\a.dat
• %System%\midimapbits.dll - detected as TSPY_AIBATOOK.AM
• %Windows%\Temp\version361.dat
• %Windows%\Temp\98768515.txt - detected as TSPY_AIBATOOK.AM
• %Windows%\Temp\version.dat
• %User Temp%\Low\ietest.ini
• %UserTemp%\ieversion.dat
• %UserTemp%\gameenabled.jpg
• %UserTemp%\winurl.dat
• %UserTemp%\version.dat

(註：%System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.. %System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.. %Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.. %User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

自動実行方法

スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Run
v3configure = "rundll32.exe %Windows%\Temp\98768515.txt,A"

ダウンロード活動

スパイウェアは、以下のWebサイトにアクセスし、ファイルをダウンロードします。

• http://{BLOCKED}data.com/images/ja525.jpg - config (download URL)
• http://{compromisedsite}/{uri}/ja525.jpg - config (download URL)
• http://{BLOCKED}.{BLOCKED}4.35.58/531.gif - detected as TSPY_AIBATOOK.AM url from config

スパイウェアは、以下のWebサイトにアクセスし、不正なファイルをダウンロードして実行します。

• http://{BLOCKED}g.co.jp/bbs/images/admin32.gif - inaccessible

スパイウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %User Temp%\ahnMse64.dll
• %User Temp%\ahnMse32.dll

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

情報収集

スパイウェアは、以下のファイル内に収集した情報を保存します。

• %User Temp%\d3d8d4.ini

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

情報の送信先

収集された情報は、以下のWebサイトにアップロードされます。

• http://{BLOCKED}ews.or.kr/xe/bbs/board.php
• http://{BLOCKED}ng.co.kr/bbs5/zboard.php

その他

スパイウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• http://{BLOCKED}data.com/eng/test/jp{number}.php?m={value}&os={os version}&ie{browser information}

スパイウェアが作成する以下のファイルは、「TSPY_AIBATOOK.AM」として検出されます。

• %System%\midimapbits.dll
• %Windows%\Temp\98768515.txt

スパイウェアが以下のWebサイトにアクセスし、ダウンロードするファイルは、スパイウェアがダウンロードに利用するURLを含む設定ファイルです。

• http://＜省略＞data.com/images/ja525.jpg
• http://＜改ざんされたサイト＞/＜URL＞/ja525.jpg

スパイウェアが、以下のWebサイトにアクセスしダウンロードするファイル（設定ファイル内のURLからダウンロード）は、「TSPY_AIBATOOK.AM」として検出されます。

• http://＜省略＞.＜省略＞4.35.58/531.gif

スパイウェアが不正なファイルをダウンロードする以下のWebサイトは、アクセス不能です。

• http://＜省略＞g.co.jp/bbs/images/admin32.gif

スパイウェアは、以下のWebブラウザからのトラフィックを監視します。

• iexplore.exe
• firefox.exe
• chrome.exe

スパイウェアは、以下の文字列のセットを利用して、ユーザ名／パスワードのマッチング情報を取得します。

• _PAGEID=
• _SENDTS=
• KEIYAKU_NO=
• PASSWORD=

• _PAGEID=
• _SENDTS=
• KAKUNIN_NO=

• domainSumitomo=
• USRID=
• USRID1=
• USRID2=
• PASSWORD=

• TrxID=
• V_OTPW_PASSWORD=
• PASSWD2_1=
• PASSWD2_2=

• event=
• okyakusamaBangou1=
• okyakusamaBangou2=
• okyakusamaBangou3=
• pm_fp=

• event=
• aikotoba=
• pm_fp=

• event=
• loginPassword=
• pm_fp=

• event=
• shouninAnshouBangou=

• KeiyakuNo=
• Next=
• pm_fp=

• NLS=
• Anshu1No=
• jsAware=

• NLS=
• Anshu2=
• Anshu2_2=
• Anshu2_3=
• Anshu2_4=
• pm_fp=

• NLS=
• InknKzBox=
• InknKzNo=
• InputThrKn=
• pm_fp=

• jsAware=
• NLS=
• rskAns=

スパイウェアは、以下のゲームの実行パスをクエリします。

• Duke Nukem Forever
• Maple Story
• Lineage

スパイウェアは、以下のアプリケーションのアンインストーラを確認して実行します。

• Trendmicro Titanium
• Naver Vaccine
• V3 365 Clinic
• V3 Lite
• Eset Smart Security