TSPY_BEBLOH.GL

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。 スパイウェアは、リモートサイトから他のマルウェアまたはグレイウェアにダウンロードされ、コンピュータに侵入します。

スパイウェアは、特定のWebサイトにアクセスし、情報を送受信します。 ただし、情報公開日現在、このWebサイトにはアクセスできません。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、リモートサイトから以下のマルウェアまたはグレイウェアにダウンロードされ、コンピュータに侵入します。

• X2KM_POWMET.GL

スパイウェアは、以下のリモートサイトからダウンロードされ、コンピュータに侵入します。

• http://{BLOCKED}p.com/ego.exe

インストール

スパイウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Application Data%\{random string}.exe
  (Note: Creation of this copy is triggered when the affected system is shutting down)

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

スパイウェアは、以下のプロセスを追加します。

• explorer.exe

スパイウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• Uz{Random Hex}

スパイウェアは、以下のプロセスにコードを組み込みます。

• explorer.exe

自動実行方法

スパイウェアは、作成されたコンポーネントがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{random string} = "%Application Data%\{random string}.lnk”
(Note: Creation of this registry entry is triggered when the affected system is shutting down)

他のシステム変更

スパイウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\{random key}

スパイウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\{random key}
{random value} = "{hex values}"

HKEY_CURRENT_USER\Software\{random key}
(Default) = "{hex values}"

作成活動

スパイウェアは、以下のファイルを作成します。

• %Application Data%\{random string}.lnk <- points to the copy
  (Note: Creation of this file is triggered when the affected system is shutting down, appends parameter "-autorun" to executed copy)

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

情報収集

スパイウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

• https://{BLOCKED}r.at/auth/?tver={Value}&vcmd={Value}&cc={Value}&hh={Hex Value}&ipcnf={IP address}+&sckport={Value}&pros={Value}&keret={Keyboard Layout};&email={Value}

その他

スパイウェアは、以下のWebサイトにアクセスしてインターネット接続を確認します。

• www.google.com

スパイウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• {Random Generated Domain}.com
• {Random Generated Domain}.net
• https://{BLOCKED}r.at

ただし、情報公開日現在、このWebサイトにはアクセスできません。

スパイウェアは、感染したコンピュータ内に以下の自身のコピーを作成します。

• %Application Data%\{random string}.exe
  （註:このコピーは、感染したコンピュータがシャットダウンされる際に作成されます。）

スパイウェアが作成する以下のファイルは、自身のコピーに誘導するショートカットファイルです。

• %Application Data%\{random string}.lnk
  （註:このファイルは、感染したコンピュータがシャットダウンされ、実行されたコピーにパラメータ"-autorun"が追加される際に作成されます。）

スパイウェア は、以下の動作を実行します。

• 自身の更新
• スパイウェアは、自身がVMWareによる仮想環境下で実行されていることを確認した場合、不正活動を続行しません。
• スパイウェアは、Google Chrome および Mozilla Firefoxのキャッシュが保存されたファイルを削除します。
• マルウェアは、C&Cサーバからの応答に基づき、以下のいずれかを実行します。
  • スリープおよび次の応答まで待機
  • 他の不正ファイルをダウンロードするURLの受信

スパイウェアは、以下の情報を収集し、自身のサーバに報告します。

• コンピュータ名
• オペレーティング・システム(OS)の情報(バージョン、製品ID, 製品名, インストール日)
• Internet Explorer（IE）のファイル情報
• ボリュームシリアルの番号
• ネットワーク環境（IPアドレス、ソケット、ポート）
• キーボードの配置