TSPY_GARVEEP.A

スパイウェアは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。 スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、ワーム活動の機能を備えていません。

スパイウェアは、バックドア活動の機能を備えていません。

侵入方法

スパイウェアは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Application Data%\Microsoft\Media Player\DRM251\msime32.exe -> this will be dropped if the filename of the malware is "autorun.exe". Also, if there is an existing file, "%Application Data%\Microsoft\Media Player\DRM251\msime32.exe", the copy will not be dropped.

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

スパイウェアは、以下のフォルダを作成します。

• %Application Data%\Microsoft\Media Player
• %Application Data%\Microsoft\Media Player\DRM251

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

スパイウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• 720110106

自動実行方法

スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
msime32.exe = "%Application Data%\Microsoft\Media Player\DRM251\msime32.exe"
Note: This autostart registry entry will not be created if the malware does not successfully drop its copy mentioned above

感染活動

スパイウェアは、ワーム活動の機能を備えていません。

バックドア活動

スパイウェアは、バックドア活動の機能を備えていません。

情報漏えい

スパイウェアは、以下の情報を収集します。

• System User/Username
• CPU information
• Language information
• Operating System Information
• Number of USBs attached to the machine
• Network Card Information

その他

スパイウェアが作成する自身のコピーは、スパイウェアのファイル名が "autorun.exe"だった場合に作成されます。また、ファイル"%Application Data%\Microsoft\Media Player\DRM251\msime32.exe"が存在する場合、このコピーは作成されません。

• %Application Data%\Microsoft\Media Player\DRM251\msime32.exe

スパイウェアが収集する情報は以下のとおりです。

• システム利用者/ユーザ名
• CPU情報
• 言語情報
• オペレーティングシステム（OS）情報
• 感染コンピュータで利用されているUSBの数
• ネットワークカード情報

スパイウェアは、上述のシステム情報から仮想環境に関連する以下の文字列のいずれを確認した場合、自身の不正活動を継続しません。

• VMWARE
• QEMU
• 192.168.100.

スパイウェアは、以下のプロセスが感染コンピュータ上で実行されているか確認します。プロセスが確認された場合、スパイウェアは自身の不正活動を停止し継続しません。

• UfSeAgnt.exe
• avp.exe
• avgtray.exe
• RavMonD.exe
• bdagent.exe
• V3LSvc.exe

スパイウェアは、実行後、不正サーバに接続して感染を報告、不正なファイルをダウンロードします。

• {BLOCKED}bile.200gigs.com
• {BLOCKED}eck.000page.com
• {BLOCKED}atefree.zoka.cc
• {BLOCKED}shhh.hostmefree.org
• {BLOCKED}cy.yaahosting.info
• {BLOCKED}tion.verwalten.ch
• {BLOCKED}tch.createandhost.com
• {BLOCKED}ile.x4host.eu
• {BLOCKED}te.eg.vg
• {BLOCKED}efreee.my5gigs.com

そしてスパイウェアは、以下のHTTPリクエストを自身のコマンド＆コントロール（C&C）サーバへ送信します。

• http://{Malicious Server}/patch/chkupdate.php?a1={Base64 of Encrypted parameter}&a2={Encrypted Physical Address of the infected machine}&a3={Base64 of Encrypted gathered information}

スパイウェアは、ルートキット機能を備えていません。

スパイウェアは、脆弱性を利用した感染活動を行いません。