TSPY_EUPUDS.A

トレンドマイクロは、このスパイウェアをNoteworthy（要注意）に分類しました。

このスパイウェアは、サイバー犯罪者に利用されるスクリプト言語「AutoIT」のパッカーを利用します。スパイウェアが実行されると、システムに関する情報の収集および、特定のブラウザから保存されたユーザ名やパスワードの収集を行います。

スパイウェアは、リモートサイトから他のマルウェアまたはグレイウェアにダウンロードされ、コンピュータに侵入します。

スパイウェアは、感染コンピュータから特定の情報を収集します。

侵入方法

スパイウェアは、リモートサイトから以下のマルウェアまたはグレイウェアにダウンロードされ、コンピュータに侵入します。

• TROJ_BANLOAD.LNA

スパイウェアは、以下のリモートサイトからダウンロードされ、コンピュータに侵入します。

• http://www.{BLOCKED}d.com/download/p6SLJ1nC/id3.zip

インストール

スパイウェアは、以下のファイルを作成します。

• %Application Data%\25f5093e
• %Application Data%\7c71538a

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

スパイウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Application Data%\{random folder}\{random filename}.exe

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

スパイウェアは、以下のフォルダを作成します。

• %Application Data%\{random folder}

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

スパイウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• DynGateInstanceMutexS

自動実行方法

スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{random filename} = "%Application Data%\{random folder}\{random filename}.exe"

ダウンロード活動

スパイウェアは、以下のWebサイトにアクセスして自身の環境設定ファイルをダウンロードします。

• {BLOCKED}.{BLOCKED}.25.190/mfb.php - inaccessible

情報漏えい

スパイウェアは、感染コンピュータから以下の情報を収集します。

• UserID
• Browser & Version
• OS Type and Version
• Malware Version

スパイウェアは、以下のブラウザから、ユーザ名、パスワードやホスト名といった保存された情報を収集します。

• iexplore.exe
• chrome.exe
• firefox.exe

情報収集

スパイウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

• {BLOCKED}.102.{BLOCKED}.190/index.php

その他

スパイウェアは、以下を除く実行中のプロセスに自身のコードを組み込みます。

• Services.exe
• Explorer.exe
• Userinit.exe
• Iexplore.exe
• Firefox.exe
• Chrome.exe
• Crsss.exe
• Svchost.exe
• Winlogon.exe
• Lsass.exe

スパイウェアは、無限スリープコマンドにより以下のAPIをフックし、プロセスのメモリのアンロードを防ぎ、ダンプが可能になります。

• ExitProcess

スパイウェアは、アプリケーション"AvastSvc.exe"が実行中、21,000秒間スリープします。

スパイウェアは、以下のWebサイトに対する自身のURLスプーフィングのためには、他のプラグインまたはコンポーネント"gforce_dll"が必要です。

• hotmail.com
• facebook.com
• live.com

スパイウェアが作成するフォルダは以下のとおりです。

• ＜Application Data＞\＜ランダムなフォルダ＞

スパイウェアが作成するファイルは以下のとおりです。

• %Application Data%\25f5093e
• %Application Data%\7c71538a

スパイウェアが感染したコンピュータ内に作成する自身のコピーは以下のとおりです。

• %Application Data%\＜ランダムなフォルダ＞\＜ランダムなファイル名＞.exe

スパイウェアが自身の環境設定ファイルをダウンロードするためアクセスするWebサイトは以下のとおりです。ただし、現在はアクセスが出来ません。

• ＜省略＞.＜省略＞.25.190/mfb.php

スパイウェアが感染コンピュータから収集する情報は以下のとおりです。

• ユーザID
• ブラウザおよびバージョン
• OSの種類とバージョン
• マルウェアのバージョン