TSPY_SPYEYE.ATC

スパイウェアは、リモートサイトから他のマルウェア、グレイウェアまたはスパイウェアにダウンロードされ、コンピュータに侵入します。 スパイウェアは、他のマルウェアに作成され、コンピュータに侵入します。

スパイウェアは、特定のWebサイトにアクセスし、情報を送受信します。

スパイウェアは、ルートキット機能を備えており、自身に関連したプロセスおよびファイルを隠匿し、ユーザによる検出および削除を避けます。

侵入方法

スパイウェアは、リモートサイトから他のマルウェア、グレイウェアまたはスパイウェアにダウンロードされ、コンピュータに侵入します。

スパイウェアは、他のマルウェアに作成され、コンピュータに侵入します。

インストール

スパイウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %System Root%\portwexexe\portwexexe.exe

(註：%System Root%は、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。)

スパイウェアは、以下の無害なファイルを作成します。

• %System Root%\portwexexe\config.bin

(註：%System Root%は、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。)

スパイウェアは、以下のフォルダを作成します。

• %System Root%\portwexexe

(註：%System Root%は、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。)

スパイウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• twxter

自動実行方法

スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
portwexexe.exe = "%System Root%\portwexexe\portwexexe.exe"

バックドア活動

スパイウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• http://{BLOCKED}aper.com

ルートキット機能

スパイウェアは、ルートキット機能を備えており、自身に関連したプロセスおよびファイルを隠匿し、ユーザによる検出および削除を避けます。

その他

スパイウェアは、以下のWebサイトにアクセスしてインターネット接続を確認します。

• www.microsoft.com

スパイウェアは、以下の形式を利用した情報を送信することによって、サーバに接続します。

• http://{BLOCKED}aper.com/trr1/degater65.php?guid={bot guid}&ver={bot version}&stat={bot status}&ie={IE version}&os={OS version}&ut={user type}&plg={plugin}&ccrc={crc of configuration file}&md5={md5 hash}

サーバへの接続が確立されると、スパイウェアは、コマンドを待機します。

スパイウェアは、FTPで用いられるアカウント情報を収集します。

スパイウェアは、POP3で用いられるアカウント情報を収集します。

スパイウェアは、個人証明書を収集します。

スパイウェアは、スクリーンショットを取得します。

スパイウェアは、ユーザがWebフォームに記入したすべての情報を収集します。

スパイウェアは、Internet Explorer（IE）やFirefoxなど主要なブラウザを利用し、正規のWebサイトに偽のログインページを表示します。

スパイウェアは、収集したクレジットカード情報から金銭の不正取引を円滑に行うために、IPアドレスからわかるユーザの所在地を利用します。