TSPY_POSLOGR.C

トレンドマイクロは、このスパイウェアをNoteworthy（要注意）に分類しました。

このスパイウェアは、2014年8月に確認されたPOS（販売時点情報管理）システムを対象としたマルウェア「Backoff」の攻撃に関連しています。スパイウェアは、感染した端末から金融情報を収集する機能を備えています。このスパイウェアに感染したコンピュータのユーザは、突然銀行口座から現金が流出する被害に見舞われる可能性があります。

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。 スパイウェアは、特定のWebサイトにアクセスし、情報を送受信します。

スパイウェアは、ユーザのキー入力操作情報を記録し、情報を収集します。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Application Data%\AdobeFlashPlayer\mswinhost.exe
• %Application Data%\winserv.exe - deleted afterwards

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

スパイウェアは、以下のフォルダを作成します。

• %Application Data%\AdobeFlashPlayer

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

スパイウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• Undsa8301nskal
• uyhnJmkuTgD

スパイウェアは、リモートスレッドを組み込み、システムのプロセスに常駐します。

• explorer.exe

自動実行方法

スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Windows NT Service = "%Application Data%\AdobeFlashPlayer\mswinhost.exe"

他のシステム変更

スパイウェアは、インストールの過程で、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion
identifier = "{random characters as ID}" such as "GQBViaL"

バックドア活動

スパイウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Download updated copy
• Terminate itself
• Uninstall itself
• Download and execute arbitrary files
• Upload log files

スパイウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• http://{BLOCKED}tp5imap2.com/aero2/fly.php
• http://{BLOCKED}tp5imap3.com/aero2/fly.php
• http://{BLOCKED}tp5imap4.ru/aero2/fly.php

情報漏えい

スパイウェアは、以下の情報を収集します。

• User name
• Computer name
• Malware version name (e.g. backoff)
• Malware built version (e.g. 1.55)

スパイウェアは、ユーザのキー入力操作情報を記録し、情報を収集します。

情報収集

スパイウェアは、以下のファイル内に収集した情報を保存します。

• %Application Data%\AdobeFlashPlayer\Log.txt - contains logged active window, installations, keystrokes and mouse activities with corresponding date and time

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

その他

スパイウェアは、以下のファイルを作成します。

• %Application Data%\AdobeFlashPlayer\Local.dat - temporarily stores all found track data
• %Application Data%\mskrnl - encrypted copy of the malware

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

スパイウェアが感染したコンピュータ内に作成する以下の自身のコピーは、その後削除されます。

• %Application Data%\winserv.exe

このスパイウェアが実行する不正リモートユーザのコマンドは以下の通りです。

• 更新されたコピーのダウンロード
• 自身の終了
• 自身のアンインストール
• 任意のファイルのダウンロードおよび実行

このスパイウェアが収集する情報は以下の通りです。

• ユーザ名
• コンピュータ名
• マルウェアのバージョン名(例:backoff)
• マルウェアの製造バージョン(例:1.55)
• ログファイルのアップロード

スパイウェアが作成した以下のファイルは、暗号化された自身のコピーです。

• %Application Data%\mskrnl

スパイウェアは、以下のプロセスでメモリの調査を実行、トラックデータを確認して、その情報をC&Cサーバに送信します。

• explorer.exe
• lsass.exe
• spoolsv.exe
• mysqld.exe
• services.exe
• wmiprvse.exe
• LogonUI.exe
• taskhost.exe
• wuauclt.exe
• smss.exe
• csrss.exe
• winlogon.exe
• alg.exe
• iexplore.exe
• firefox.exe
• chrome.exe
• devenv.exe

スパイウェアは、以下の情報をC&Cサーバに送信します。

&op=1&id={identifier found in registry}&ui={username} @ {computer name}&wv={Windows version}&gr={malware version name}&bv={built version}&data={encrypted data}