TSPY_ONLINEG.MU

マルウェアは、特定の文字列をWindowsのHOSTSファイルに追加します。

マルウェアは、WindowsのAPI機能をフックし、自身を不可視にすることで、ファイル検索を回避します。

スパイウェアは、ルートキット機能を備えており、自身に関連したプロセスおよびファイルを隠匿し、ユーザによる検出および削除を避けます。

侵入方法

スパイウェアは、以下の悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。

• http://{BLOCKED}g.info/chrome/download_chrome_11.0.696.68.php

インストール

スパイウェアは、以下のファイルを作成します。

• %User Profile%\Application Data\cleanhtm.exe
• %User Profile%\Application Data\cleanhtm.dll

(註：%User Profile% フォルダは、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞"、Windows NTでは、"C:\WINNT\Profiles\＜ユーザ名＞"、Windows 2000, XP, Server 2003の場合は、"C:\Documents and Settings\＜ユーザ名＞" です。)

スパイウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• g4058h4pedojge

自動実行方法

スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
cleanhtm = "%User Profile%\Application Data\cleanhtm.exe"

ルートキット機能

スパイウェアは、ルートキット機能を備えており、自身に関連したプロセスおよびファイルを隠匿し、ユーザによる検出および削除を避けます。

HOSTSファイルの改変

スパイウェアは、WindowsのHOSTSファイルに以下の文字列を追加します。

• {BLOCKED}.{BLOCKED}.118.187 www.google.com
• {BLOCKED}.{BLOCKED}.118.188 search.yahoo.com
• {BLOCKED}.{BLOCKED}.118.188 www.bing.com

その他

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザに自身のインストールを通知します。

• http://{BLOCKED}.{BLOCKED}.64.186/?id=29&v=5&c={computer name}&rs=1&h=1

マルウェアは、以下のWindowsのAPI機能をフックし、自身を不可視にすることで、ファイル検索を回避します。

• FindFirstFileA
• FindNextFileA
• FindFirstFileW
• FindNextFileW

マルウェアは、以下のネイティブAPI機能をフックし、自動実行のためのレジストリを隠ぺいします。

• NtEnumerateValueKey

マルウェアは、以下のネイティブAPI機能をフックし、自身のプロセスを隠ぺいします。

• NtResumeThread
• NtQuerySystemInformation

マルウェアは、以下のネイティブAPI機能をフックし、実行されているすべてのDLLファイルにすべてのフックがインストールされるようにします。

• LdrLoadDll

マルウェアは、以下のWinSock API機能「connect」をフックし、ユーザを以下のドメインからIPアドレス「{BLOCKED}.{BLOCKED}.118.187」へ誘導します。

• www.google.com
• search.yahoo.com
• www.bing.com