TSPY_POSPUNK.A

トレンドマイクロは、このスパイウェアをNoteworthy（要注意）に分類しました。

このスパイウェアのコンポーネントは、2015年4月に確認されたPOSマルウェア「Punkey」に関連しています。

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、ユーザのキー入力操作情報を記録し、情報を収集します。

スパイウェアは、実行後、自身を削除します。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

• %AppDataLocal%\jusched\jusched.exe

(註：%AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)

スパイウェアは、以下のコンポーネントファイルを作成します。

• %AppDataLocal%\jusched\Dllx64.dll - detected as TSPY_POSPUNK.A which is a component used for keylogging routine

(註：%AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)

スパイウェアは、以下のプロセスにコードを組み込みます。

• explorer.exe

自動実行方法

スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
jusched = "%AppDataLocal%\jusched\jusched.exe -s"

情報漏えい

スパイウェアは、以下のパラメータを受け取ります。

• key= {RUN, SCANNING, or UPDATE}
• version= {malware version}
• bit= {32 or 64}
• unkey= {stolen information}

スパイウェアは、ユーザのキー入力操作情報を記録し、情報を収集します。

情報収集

スパイウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

• http://{BLOCKED}x.tqurl.net/27b7n9m73210m7
• http://{BLOCKED}.{BLOCKED}.103.21/h4g2v34hk

その他

このスパイウェアのコードから、スパイウェアは、以下の機能を備えています。

• update itself
• download arbitrary file as temp.exe
• sleep

スパイウェアは、実行後、自身を削除します。

<補足>
インストール

スパイウェアが作成する以下のコンポーネントファイルは、「TSPY_POSPUNK.A」として検出されます。これは、キー入力操作情報の収集活動に利用されるコンポーネントです。

• %AppDataLocal%\jusched\Dllx64.dll

その他

このスパイウェアのコードから、スパイウェアは以下の機能を備えています。

• 自身の更新
• "temp.exe"として任意のファイルをダウンロード
• スリープ

注意：

スパイウェアは、任意のペイロードを更新またはダウンロードする前に、以下のURLにGETリクエストを送信します。

• http://{BLOCKED}.{BLOCKED}.103.21/h4g2v34hk/?check
• http://{BLOCKED}x.tqurl.net/27b7n9m73210m7/?check

スパイウェアは、以下を除いたすべての実行中プロセスのメモリをスキャンします。

• wuauclt.exe
• alg.exe
• spoolsv.exe
• lsass.exe
• winlogon.exe
• csrss.exe
• smss.exe
• System
• explorer.exe
• iexplore.exe
• svchost.exe

スパイウェアは、自身のコマンド&コントロール（C&C）サーバへ以下のエラーを報告します。

• キーボードフックのインストール中に発生したエラー
• dllファイルの読み込み中に発生したエラー。エラーコード：{値}