TSPY_TRICKLOAD.F

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

• %Application Data%\{Malware File Name}.exe

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

スパイウェアは、以下のファイルを作成します。

• %Application Data%\client_id
• %Application Data%\group_tag
• %Windows%\Tasks\Bot.job

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.. %Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

スパイウェアは、以下のフォルダを作成します。

• %Application Data%\Modules\
• %Application Data%\Modules\injectDll32_configs
• %Application Data%\Modules\mailsearcher32_configs

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

ダウンロード活動

スパイウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %Application Data%\config.conf
• %Application Data%\Modules\injectDll32
• %Application Data%\Modules\systeminfo32
• %Application Data%\Modules\injectDll32_configs\dinj
• %Application Data%\Modules\injectDll32_configs\dpost
• %Application Data%\Modules\injectDll32_configs\sinj
• %Application Data%\Modules\mailsearcher32_configs\mailconf

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

その他

スパイウェアは、以下のWebサイトにアクセスして感染コンピュータのIPアドレスを収集します。

• ip.anysrc.net
• bot.whatismyipaddress.com
• icanhazip.com
• api.ipify.org
• myexternalip.com

スパイウェアは、以下の不正なWebサイトにアクセスします。

• {BLOCKED}.{BLOCKED}.28.77:443
• {BLOCKED}.{BLOCKED}.28.24:443
• {BLOCKED}.{BLOCKED}.209.51:443
• {BLOCKED}.{BLOCKED}.44.28:443
• {BLOCKED}.{BLOCKED}.23.98:443
• {BLOCKED}.{BLOCKED}.138.194:443
• {BLOCKED}.{BLOCKED}.211.34:443
• {BLOCKED}.{BLOCKED}.234.69:443
• {BLOCKED}.{BLOCKED}.28.0:443
• {BLOCKED}.{BLOCKED}.176.6:443
• {BLOCKED}.{BLOCKED}.52.75:443
• {BLOCKED}.{BLOCKED}.131.97:443
• 15616.{BLOCKED}ebhosting.net
• zen.{BLOCKED}us.org
• b.{BLOCKED}udacentral.org
• dnsbl-1.{BLOCKED}tect.net
• spam.dnsbl.{BLOCKED}s.net