TSPY_SPYEYE.CD

スパイウェアは、不正リモートユーザのコマンドによって、ユーザから個人認証情報を収集するといった特定の不正活動を行います。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。

マルウェアは、ルートキット機能を備えており、自身に関連したプロセスおよびファイルを隠匿し、ユーザによる検出および削除を避けます。

マルウェアは、ユーザ名およびパスワードといったオンラインバンキングに関連した個人情報を収集します。これにより、収集された情報は不正リモートユーザにより悪用される可能性があります。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のコンポーネントファイルを作成します。

• %System Root%\usxxxxxxxx\config.bin

(註：%System Root%は、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。)

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %System Root%\usxxxxxxxx\usxxxxxxxx.exe

(註：%System Root%は、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。)

マルウェアは、以下のフォルダを作成します。

• %System Root%\usxxxxxxxx

(註：%System Root%は、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。)

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• Global\SystemService

マルウェアは、以下のプロセスに自身を組み込み、システムのプロセスに常駐します。

• explorer.exe

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
usxxxxxxxx.exe = "%System Root%\usxxxxxxxx\usxxxxxxxx.exe"

バックドア活動

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• http://{BLOCKED}4.{BLOCKED}5.228.147/~main/us1/gate.php
• http://{BLOCKED}8.{BLOCKED}9.96.95/us1/gate.php
• http://{BLOCKED}8.{BLOCKED}9.99.250/us1/gate.php
• http://{BLOCKED}ker007.ru/us10/gate.php

ルートキット機能

マルウェアは、ルートキット機能を備えており、自身に関連したプロセスおよびファイルを隠匿し、ユーザによる検出および削除を避けます。

情報漏えい

マルウェアは、ユーザ名およびパスワードといったオンラインバンキングに関連した個人情報を収集します。これにより、収集された情報は不正リモートユーザにより悪用される可能性があります。

スパイウェアは、以下の情報を不正リモートユーザに送信します。

• オペレーティングシステム（OS）の情報
• ボットネットへの接続状況（オンライン／オフライン）
• Internet Explorer（IE）のバージョン
• アカウントの種類
• ボリューム情報
• 言語識別子
• タイマ刻み数
• タイム ゾーン
• ローカル日時
• Bot version
• Bot GUID
• Bot hash
• このスパイウェアのプラグイン
• Function data
• プロセス名
• フックされた機能

スパイウェアは、以下の不正活動を行います。

• 環境設定ファイルの更新
• 自身の更新
• IEのゾーン設定の変更
• Mozilla Firefoxの設定ファイルの変更
• キー入力操作情報の記録
• オンライン銀行の取引フォームにデータを書き込む
• FTPおよびPOP3で用いられるユーザ名およびパスワードの収集
• Webフォームに入力された情報の傍受

スパイウェアは、正規のWebサイトに偽のログインページを表示することで、ユーザが以下の銀行や金融機関のいずれかのWebサイトを閲覧した場合、ユーザ名やパスワードといった情報を収集します。

• *.wellsfargo.com/*
• *://online.wellsfargo.com/*
• *bankofamerica.com*
• *bankofamerica.com/*
• https://*.bankofamerica.com/*/commonscript.js
• https://online.wellsfargo.com/das/cgi-bin/session.cgi*
• https://onlineeast#.bankofamerica.com/*/GotoCustomerServiceMenu*
• https://onlineeast#.bankofamerica.com/*/GotoWelcome
• https://onlineeast#.bankofamerica.com/*/SplashPageControl*
• https://sitekey.bankofamerica.com/sas/maint.do
• https://www.chase.com/*
• https://www.wellsfargo.com/biz/*