TSPY_DYRE.YSIZ

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。 スパイウェアは、他のマルウェアに作成され、コンピュータに侵入します。

スパイウェアは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、以下のマルウェアに作成され、コンピュータに侵入します。

• TROJ_UPATRE.YSIZ

インストール

スパイウェアは、以下のファイルを作成します。

• %System%\config\systemprofile\Application Data\nq9nzef6b7.dll (For Windows XP and below)
• %AppDataLocal%\nq9nzef6b7.dll (For Windows Vista and above)

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.. %AppDataLocal%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local" です。)

スパイウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Windows%\{random filename}.exe (For Windows XP and below)
• %AppDataLocal%\{random filename}.exe (For Windows Vista and above)

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.. %AppDataLocal%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local" です。)

スパイウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• Global\zx5fwtw4ep

スパイウェアは、以下のプロセスにコードを組み込みます。

• explorer.exe
• svchost.exe

自動実行方法

スパイウェアは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\googleupdate
DisplayName = "Google Update Service"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\googleupdate
ImagePath = "%Windows%\{random filename}.exe" (For Windows XP and below)

スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
GoogleUpdate = "%AppDataLocal%\{random filename}.exe" (For Windows Vista and above)

スパイウェアは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\googleupdate (For Windows XP and below)

情報漏えい

環境設定ファイルは、以下の情報を含んでいます。

• Proxy address for the Man-in-the-middle attack
• List of strings related to banking/bitcoin

スパイウェアは、以下の情報を収集します。

• Computer Name
• Host Name
• Public IP Address
• OS Version
• User Name
• OS platform
• Installed programs

その他

スパイウェアは、以下のWebサイトにアクセスしてインターネット接続を確認します。

• google.com
• microsoft.com

スパイウェアは、以下のWebサイトにアクセスして感染コンピュータのIPアドレスを収集します。

• http://icanhazip.com

スパイウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• {BLOCKED}.{BLOCKED}.178.37:443
• {BLOCKED}.{BLOCKED}.103.78:443
• {BLOCKED}.{BLOCKED}.160.107:443
• {BLOCKED}.{BLOCKED}.187.116:443
• {BLOCKED}.{BLOCKED}.132.69:443
• {BLOCKED}.{BLOCKED}.54.107:443
• {BLOCKED}.{BLOCKED}.49.162:443
• {BLOCKED}.{BLOCKED}.12.49:443
• {BLOCKED}.{BLOCKED}.149.39:4443
• {BLOCKED}.{BLOCKED}.149.4:4443
• {BLOCKED}.{BLOCKED}.104.250:443
• {BLOCKED}.{BLOCKED}.189.92:443
• {BLOCKED}.{BLOCKED}.190.26:443
• {BLOCKED}.{BLOCKED}.190.93:443
• {BLOCKED}.{BLOCKED}.191.217:443
• {BLOCKED}.{BLOCKED}.191.218:443
• {BLOCKED}.{BLOCKED}.191.222:443
• {BLOCKED}.{BLOCKED}.191.70:443
• {BLOCKED}.{BLOCKED}.88.150:443
• {BLOCKED}.{BLOCKED}.19.156:443
• {BLOCKED}.{BLOCKED}.139.42:4443
• {BLOCKED}.{BLOCKED}.142.227:443
• {BLOCKED}.{BLOCKED}.177.211:4443
• {BLOCKED}.{BLOCKED}.38.6:4443
• {BLOCKED}.{BLOCKED}.48.121:443
• {BLOCKED}.{BLOCKED}.48.173:443
• {BLOCKED}.{BLOCKED}.48.96:443
• {BLOCKED}.{BLOCKED}.49.20:443
• {BLOCKED}.{BLOCKED}.249.122:443
• {BLOCKED}.{BLOCKED}.97.93:4443
• {BLOCKED}.{BLOCKED}.213.153:443
• {BLOCKED}.{BLOCKED}.81.19:443
• {BLOCKED}.{BLOCKED}.133.237:443
• {BLOCKED}.{BLOCKED}.69.130:443
• {BLOCKED}.{BLOCKED}.69.132:443
• {BLOCKED}.{BLOCKED}.69.138:4443
• {BLOCKED}.{BLOCKED}.69.142:4443
• {BLOCKED}.{BLOCKED}.69.144:443
• {BLOCKED}.{BLOCKED}.69.154:443
• {BLOCKED}.{BLOCKED}.69.155:443
• {BLOCKED}.{BLOCKED}.69.166:4443
• {BLOCKED}.{BLOCKED}.69.167:4443
• {BLOCKED}.{BLOCKED}.181.148:4443
• {BLOCKED}.{BLOCKED}.204.113:443
• {BLOCKED}.{BLOCKED}.124.244:4443
• {BLOCKED}.{BLOCKED}.239.98:4443
• {BLOCKED}.{BLOCKED}.148.1:443
• {BLOCKED}.{BLOCKED}.73.59:4443
• {BLOCKED}.{BLOCKED}.228.195:443
• {BLOCKED}.{BLOCKED}.55.58:4443
• {BLOCKED}.{BLOCKED}.40.17:443
• {BLOCKED}.{BLOCKED}.206.42:4443
• {BLOCKED}.{BLOCKED}.229.60:443
• {BLOCKED}.{BLOCKED}.48.230:443
• {BLOCKED}.{BLOCKED}.53.78:443
• {BLOCKED}.{BLOCKED}.195.147:443/account/{Random Number}
• {BLOCKED}.{BLOCKED}.195.147:443/contact/{Random Number}
• {BLOCKED}.{BLOCKED}.195.147:443/info/{Random Number}
• {BLOCKED}.{BLOCKED}.195.147:443/login/{Random Number}
• nhgyzrn2p2gejk57wveao5kxa7b3nhtc4saoonjpsy65mapycaua.{BLOCKED}2.i2p:443
• oguws7cr5xvl5jlrhyxjktcdi2d7k5cqeulu4mdl75xxfwmhgnsq.{BLOCKED}2.i2p:443