TSPY_DYRE.YUYCC

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。 スパイウェアは、リモートサイトから他の不正プログラムにダウンロードされ、コンピュータに侵入します。

スパイウェアは、特定のWebサイトにアクセスし、情報を送受信します。 スパイウェアは、特定のファイルの読み込み、および実行に利用されます。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、リモートサイトから以下の不正プログラムによりダウンロードされ、コンピュータに侵入します。

• W2KM_BARTALEX.SMA

インストール

スパイウェアは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

• %AppDataLocal%\{random characters}.exe - Windows 7 and above

(註：%AppDataLocal%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local" です。)

スパイウェアは、以下のファイルを作成します。

• %AppDataLocal%\Cab{Random characters}.tmp - Windows 7 and above
• %AppDataLocal%\Tar{Random characters}.tmp - Windows 7 and above
• %User Temp%\Cab{Random characters}.tmp - Windows XP and below
• %User Temp%\Tar{Random characters}.tmp - Windows XP and below

(註：%AppDataLocal%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local" です。. %User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

スパイウェアは、以下のファイルを作成し実行します。

• %AppDataLocalLow%\{random characters 1}.bat - Windows 7 and above
• %AppDataLocalLow%\{random characters 1}.sdb - Windows 7 and above

(註：%AppDataLocalLow%フォルダは、Windows Vista および 7 の場合、通常、"C:\Users\＜ユーザ名＞\AppData\LocalLow" です。)

スパイウェアは、以下のプロセスを追加します。

• iscsicli.exe - Windows 7 and above
• sdbinst.exe - Windows 7 and above

スパイウェアは、以下のプロセスに自身を組み込み、システムのプロセスに常駐します。

• explorer.exe

他のシステム変更

スパイウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\System\CurrentControlSet\
services\SharedAccess\Parameters\
FirewallPolicy\FirewallRules
(guid) = "v2.10|Action=Allow|Active=TRUE|Dir=In|Protocol=6|App=%Windows%\Explorer.EXE|Name=Core Networking - Multicast Listener DOne [ICMPv4-In]|"

ダウンロード活動

スパイウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %AppDataLocal%\{Random Characters}.tmp - Windows 7 and above
• {Malware Path}\{Random Characters}.tmp - Windows XP and below

(註：%AppDataLocal%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local" です。)

その他

スパイウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• {BLOCKED}.{BLOCKED}.123.115:1443
• {BLOCKED}.{BLOCKED}.58.216:8443
• {BLOCKED}.{BLOCKED}.247.226:8443
• {BLOCKED}.{BLOCKED}.70.45:8443

スパイウェアは、以下のファイルの読み込み、および実行に利用されます。

• %AppDataLocal%\{Random Characters}.tmp - Windows 7 and above
• {Malware Path}\{Random Characters}.tmp - Windows XP and below

(註：%AppDataLocal%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local" です。)