TSPY_POSNEWT.SM

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

この「販売時点情報管理（Point of Sale）」マルウェアは、2015年4月、米国の特定の空港を標的にしている際に検出されました。このマルウェアに感染したPoS端末は、情報窃取活動により侵害されている可能性があります。

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、Internet Explorer（IE）のゾーン設定を変更します。

スパイウェアは、ユーザのキー入力操作情報を記録し、情報を収集します。

スパイウェアは、実行後、自身を削除します。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

• %Application Data%\Java\JavaUpdate.exe

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

スパイウェアは、以下のコンポーネントファイルを作成します。

• %Application Data%\Java\DLLx64.dll

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

自動実行方法

スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Java Update Manager = "%Application Data%\Java\JavaUpdate.exe"

他のシステム変更

スパイウェアは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Tracing\JavaUpdate_RASAPI32

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Tracing\JavaUpdate_RASMANCS

スパイウェアは、インストールの過程で、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
Associations
LowRiskFileTypes = ".exe;.bat;.reg;.vbs;"

Webブラウザのホームページおよび検索ページの変更

スパイウェアは、IEのゾーン設定を変更します。

情報漏えい

スパイウェアは、以下のパラメータを受け取ります。

• cs= status code
• p= os version + platform + computername
• m= sessionID
• ls= stolen data
• v= client version

スパイウェアは、ユーザのキー入力操作情報を記録し、情報を収集します。

情報収集

スパイウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

• http://{BLOCKED}.{BLOCKED}.64.84/a0d19de489970cf7276ebf390ef0cf23/
• http://{BLOCKED}.{BLOCKED}.10.1/connect/2
• http://{BLOCKED}.{BLOCKED}.68.58/52ff5b94d95a03c5/eklemek.php
• http://{BLOCKED}.{BLOCKED}.68.58/afdah/eklemek.php
• http://{BLOCKED}.{BLOCKED}.68.58/ufke/eklemek.php
• http://{BLOCKED}.{BLOCKED}.88.204/connect/2
• http://{BLOCKED}.{BLOCKED}.65.112/connect/2
• http://{BLOCKED}.{BLOCKED}.65.112/connect/5
• http://{BLOCKED}.{BLOCKED}.65.112/connect/9
• http://{BLOCKED}.{BLOCKED}.65.23/connect/3
• http://{BLOCKED}.{BLOCKED}.30.19/mndn39oaom54lt3lk/
• http://{BLOCKED}axis-1.name/a0d19de489970cf7276ebf390ef0cf23/
• http://{BLOCKED}-promos.com/ujakj/ek.php
• http://{BLOCKED}-catalogs.com/dkok/ek.php

その他

スパイウェアは、実行後、自身を削除します。

<補足>
情報漏えい

スパイウェアは、以下のパラメータを受け取ります。

• cs= ステータスコード
• p= OSのバージョン + プラットフォーム + コンピュータ名
• m= セッションID
• ls= 窃取されたデータ
• v= クライアントのバージョン

注意：

スパイウェアは、遠隔操作のため、以下のVNCパスワードを取得します。

• RealVNC
• TightVNC
• UltraVNC
• WinVNC

スパイウェアは、以下を除く、全ての実行中プロセスのメモリをスキャンします。

• alg.exe
• csrss.exe
• lsass.exe
• smss.exe
• spoolsv.exe
• svchost.exe
• System
• winlogon.exe
• wuauclt.exe

スパイウェアは、以下のユーザエージェントを利用します:

Mozilla/4.0(compatible; MSIE 7.0b; Windows NT 6.0