TSPY_POSLUSY.A

トレンドマイクロは、このスパイウェアをNoteworthy（要注意）に分類しました。

スパイウェアは、「LusyPOS」として知られる新しいPOSマルウェアのファミリで、 POSマルウェア「Dexter」および「ChewBacca」と類似した特徴を備えています。

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、特定のWebサイトにアクセスし、情報を送受信します。 スパイウェア マルウェアは、自身（コンピュータに侵入して最初に自身のコピーを作成した スパイウェア ）を削除します。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、以下のコンポーネントファイルを作成します。

• {malware path}\mbambservice.exe - deleted afterwards
• {malware path}\ibcurl.dll - deleted afterwards
• {malware path}\zlib1.dll - deleted afterwards
• %Application Data%\VeriFone32\libcurl.dll - library component containing curl functions
• %Application Data%\VeriFone32\mbambservice.exe - legitimate TOR
• %Application Data%\VeriFone32\zlib1.dll - library component containing data compression functions

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

スパイウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Application Data%\VeriFone32\verifone32.exe

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

スパイウェアは、以下のプロセスを追加します。

• iexplore.exe

スパイウェアは、以下のフォルダを作成します。

• %Application Data%\VeriFone32

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

スパイウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• prowin32Mutex

スパイウェアは、以下のプロセスにコードを組み込みます。

• iexplore.exe

自動実行方法

スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
VeriFone32 = "%Application Data%\VeriFone32\verifone32.exe"

他のシステム変更

スパイウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Verifone32
Digitb00 = "{GUID}"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
Associations
Software\\Microsoft\\Windows\\CurrentVersion\\Internet Settings\\Zones\\0 = ".exe;.bat;.reg;.vbs;"

スパイウェアは、インストールの過程で、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Verifone32

その他

スパイウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• http://{BLOCKED}jjwzjopq.onion/d/gw.php
• http://{BLOCKED}gxeqmvsugz.onion/d/gw.php

スパイウェア は、自身（コンピュータに侵入して最初に自身のコピーを作成した スパイウェア ）を削除します。

スパイウェアが作成する以下のコンポーネントファイルは、後に削除されます。

• {malware path}\mbambservice.exe
• {malware path}\ibcurl.dll
• {malware path}\zlib1.dll

スパイウェアが作成する以下のコンポーネントファイルは、"cURL"のファンクションを含むライブラリコンポーネントです。

• %Application Data%\VeriFone32\libcurl.dll

スパイウェアが作成する以下のコンポーネントファイルは、正規の匿名通信システム「The Onion Router（Tor）」です。

• %Application Data%\VeriFone32\mbambservice.exe

スパイウェアが作成する以下のコンポーネントファイルは、データ圧縮機能を含むライブラリコンポーネントです。

• %Application Data%\VeriFone32\zlib1.dll

スパイウェアは、すべての実行中プロセスのメモリを読み込み、以下のプロセスを除くクレジットカード情報のダンプを取得します。

• wmiprvse.exe
• LogonUI.exe
• svchost.exe
• iexplore.exe
• explorer.exe
• System
• smss.exe
• csrss.exe
• winlogon.exe
• lsass.exe
• spoolsv.exe
• alg.exe
• wuauclt.exe
• firefox.exe
• chrome.exe
• devenv.exe

スパイウェアは、以下の情報を送信します。

• page= mutex
• ump= クレジットカード情報
• unm= ユーザ名
• cnm= コンピュータ名
• spec= オペレーティングシステム(OS)のアーキテクチャ
• query= OSのバージョン
• val= {value}
• var= バージョン
• view = 実行中プロセス