Trend Micro Security

TrojanSpy.Win32.PSKEYLOGGER.A

2021年10月9日
 解析者: Maria Emreen Viray   
 別名:

HackTool:Win32/GendowsBatch (MICROSOFT)

 プラットフォーム:

Windows

 危険度:
 ダメージ度:
 感染確認数:
 システムへの影響:
 情報漏えい:


  • マルウェアタイプ: スパイウェア/情報窃取型
  • 破壊活動の有無: なし
  • 暗号化:  
  • 感染報告の有無: はい

  概要


スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

  詳細

ファイルサイズ 36,437,501 bytes
タイプ EXE
メモリ常駐 なし
発見日 2021年10月5日

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、以下のフォルダを追加します。

  • %Program Files%\{BLOCKED}C51
  • %System%\{BLOCKED}JSPCSP
  • %Common Programs%\{BLOCKED}
  • %Common Programs%\{BLOCKED}\51楷翑忒
  • After uninstallation through ControlPanel or uninst.exe:
    • %User Temp%\~nsuA.tmp

スパイウェアは、以下のファイルを作成します。

  • %Program Files%\{BLOCKED}C51\51boxtrace.eti
  • %Program Files%\{BLOCKED}C51\51fapiao.cer
  • %Program Files%\{BLOCKED}C51\51fapiaotest.cer
  • %Program Files%\{BLOCKED}C51\Assist.exe
  • %Program Files%\{BLOCKED}C51\Assist.exe.Config
  • %Program Files%\{BLOCKED}C51\BSWJURL.ini
  • %Program Files%\{BLOCKED}C51\C51CloudInvoiceAdapter.exe
  • %Program Files%\{BLOCKED}C51\C51CloudInvoiceProtect.exe
  • %Program Files%\{BLOCKED}C51\C51InvoiceAssist.exe
  • %Program Files%\{BLOCKED}C51\C51InvoiceGuide.exe
  • %Program Files%\{BLOCKED}C51\CertDecoder.dll
  • %Program Files%\{BLOCKED}C51\CertSecurity.dll
  • %Program Files%\{BLOCKED}C51\CloudInvoiceAdapterService.exe
  • %Program Files%\{BLOCKED}C51\DataTransferToolDownload.exe
  • %Program Files%\{BLOCKED}C51\FQFQFQFQ.cer
  • %Program Files%\{BLOCKED}C51\FWS51PTC.cer
  • %Program Files%\{BLOCKED}C51\JSDiskDLL.dll
  • %Program Files%\{BLOCKED}C51\JsDevInfoDll.dll
  • %Program Files%\{BLOCKED}C51\JspInterface.dll
  • %Program Files%\{BLOCKED}C51\LogCtrl.cfg
  • %Program Files%\{BLOCKED}C51\NISEC_UKEYC.dll
  • %Program Files%\{BLOCKED}C51\Net_Util.dll
  • %Program Files%\{BLOCKED}C51\QWER1234.cer
  • %Program Files%\{BLOCKED}C51\RSADecrypt.dll
  • %Program Files%\{BLOCKED}C51\ReadAreaCode.dll
  • %Program Files%\{BLOCKED}C51\RegAsm.exe
  • %Program Files%\{BLOCKED}C51\SOFC.dll
  • %Program Files%\{BLOCKED}C51\Sm2Clt.dll
  • %Program Files%\{BLOCKED}C51\TaxBox.dll
  • %Program Files%\{BLOCKED}C51\TaxUKeyBase.dll
  • %Program Files%\{BLOCKED}C51\api-ms-win-core-file-l1-2-0.dll
  • %Program Files%\{BLOCKED}C51\api-ms-win-core-file-l2-1-0.dll
  • %Program Files%\{BLOCKED}C51\api-ms-win-core-localization-l1-2-0.dll
  • %Program Files%\{BLOCKED}C51\api-ms-win-core-processthreads-l1-1-1.dll
  • %Program Files%\{BLOCKED}C51\api-ms-win-core-synch-l1-2-0.dll
  • %Program Files%\{BLOCKED}C51\api-ms-win-core-timezone-l1-1-0.dll
  • %Program Files%\{BLOCKED}C51\api-ms-win-crt-convert-l1-1-0.dll
  • %Program Files%\{BLOCKED}C51\api-ms-win-crt-environment-l1-1-0.dll
  • %Program Files%\{BLOCKED}C51\api-ms-win-crt-filesystem-l1-1-0.dll
  • %Program Files%\{BLOCKED}C51\api-ms-win-crt-heap-l1-1-0.dll
  • %Program Files%\{BLOCKED}C51\api-ms-win-crt-locale-l1-1-0.dll
  • %Program Files%\{BLOCKED}C51\api-ms-win-crt-math-l1-1-0.dll
  • %Program Files%\{BLOCKED}C51\api-ms-win-crt-multibyte-l1-1-0.dll
  • %Program Files%\{BLOCKED}C51\api-ms-win-crt-runtime-l1-1-0.dll
  • %Program Files%\{BLOCKED}C51\api-ms-win-crt-stdio-l1-1-0.dll
  • %Program Files%\{BLOCKED}C51\api-ms-win-crt-string-l1-1-0.dll
  • %Program Files%\{BLOCKED}C51\api-ms-win-crt-time-l1-1-0.dll
  • %Program Files%\{BLOCKED}C51\api-ms-win-crt-utility-l1-1-0.dll
  • %Program Files%\{BLOCKED}C51\cryp_api.dll
  • %Program Files%\{BLOCKED}C51\decodecert.dll
  • %Program Files%\{BLOCKED}C51\delUKeyLog.bat
  • %Program Files%\{BLOCKED}C51\download.exe
  • %Program Files%\{BLOCKED}C51\ebasic__{BLOCKED}.dat
  • %Program Files%\{BLOCKED}C51\gbfw.bat
  • %Program Files%\{BLOCKED}C51\imgdecoder-gdip.dll
  • %Program Files%\{BLOCKED}C51\imgdecoder-png.dll
  • %Program Files%\{BLOCKED}C51\interface.ini
  • %Program Files%\{BLOCKED}C51\libcrypto-1_1.dll
  • %Program Files%\{BLOCKED}C51\libcurl.dll
  • %Program Files%\{BLOCKED}C51\libcurl_7.67.0.dll
  • %Program Files%\{BLOCKED}C51\libeay32.dll
  • %Program Files%\{BLOCKED}C51\libssl-1_1.dll
  • %Program Files%\{BLOCKED}C51\log4cxx.dll
  • %Program Files%\{BLOCKED}C51\logo.ico
  • %Program Files%\{BLOCKED}C51\msvcr100.dll
  • %Program Files%\{BLOCKED}C51\msvcr71.dll
  • %Program Files%\{BLOCKED}C51\paho-mqtt3c.dll
  • %Program Files%\{BLOCKED}C51\privcfg.ini
  • %Program Files%\{BLOCKED}C51\pthreadVC2.dll
  • %Program Files%\{BLOCKED}C51\public.pem
  • %Program Files%\{BLOCKED}C51\regasm.exe.config
  • %Program Files%\{BLOCKED}C51\render-gdi.dll
  • %Program Files%\{BLOCKED}C51\resprovider-7zip.dll
  • %Program Files%\{BLOCKED}C51\sangfor.dll
  • %Program Files%\{BLOCKED}C51\softSysVersion
  • %Program Files%\{BLOCKED}C51\soui.dll
  • %Program Files%\{BLOCKED}C51\sqlite3.dll
  • %Program Files%\{BLOCKED}C51\ssleay32.dll
  • %Program Files%\{BLOCKED}C51\swukeyinstaller.exe
  • %Program Files%\{BLOCKED}C51\trust.txt
  • %Program Files%\{BLOCKED}C51\trusttest.txt
  • %Program Files%\{BLOCKED}C51\ucrtbase.dll
  • %Program Files%\{BLOCKED}C51\uires.7z
  • %Program Files%\{BLOCKED}C51\uires_ypy.7z
  • %Program Files%\{BLOCKED}C51\ukeyinfo.ini
  • %Program Files%\{BLOCKED}C51\uniAcceptFramework.dll
  • %Program Files%\{BLOCKED}C51\uninst.ico
  • %Program Files%\{BLOCKED}C51\update.exe
  • %Program Files%\{BLOCKED}C51\utilities.dll
  • %Program Files%\{BLOCKED}C51\vcredist.x86_2015.exe
  • %Program Files%\{BLOCKED}C51\xihaa.dll
  • %Program Files%\{BLOCKED}C51\ykpzs.cait
  • %Program Files%\{BLOCKED}C51\zlib1.dll
  • %Program Files%\{BLOCKED}C51\zlibwapi.dll
  • %System%\ai109b_gm.dll
  • %System%\CTptkcs.dll
  • %System%\{BLOCKED}JSPCSP\{BLOCKED}_service_admin.exe
  • %System%\{BLOCKED}JSPCSP\cspPinDlg.dll
  • %System%\{BLOCKED}JSPCSP\cspsign.dll
  • %System%\{BLOCKED}JSPCSP\LYFCSP.dll
  • %System%\{BLOCKED}JSPCSP\tokenh.dll
  • %Common Programs%\{BLOCKED}\51楷翑忒\51楷翑忒.lnk
  • %Common Programs%\{BLOCKED}\51楷翑忒\迠婥 51楷翑忒.lnk
  • %Program Files%\{BLOCKED}C51\uninst.exe
  • %User Temp%\dd_vcredist_x86_{YYYYMMDD}{Random Digits}.log
  • Temporary files (attempt to delete afterwards):
    • %User Temp%\ns{Random Characters}.tmp\killer.dll
    • %User Temp%\ns{Random Characters}.tmp\System.dll
    • %User Temp%\ns{Random Characters}.tmp\KillProcDLL.dll
    • %User Temp%\ns{Random Characters}.tmp\nsExec.dll
    • %User Temp%\ns{Random Characters}.tmp\ns{Random Characters}.tmp
    • %User Temp%\{74d0e5db-b326-4dae-a6b2-445b9de1836e}\.ba1\wixstdba.dll
    • %User Temp%\{74d0e5db-b326-4dae-a6b2-445b9de1836e}\.ba1\{Random Digits}\license.rtf
    • %User Temp%\{74d0e5db-b326-4dae-a6b2-445b9de1836e}\.ba1\thm.xml
    • %User Temp%\{74d0e5db-b326-4dae-a6b2-445b9de1836e}\.ba1\thm.wxl
    • %User Temp%\{74d0e5db-b326-4dae-a6b2-445b9de1836e}\.ba1\logo.png
    • %User Temp%\{74d0e5db-b326-4dae-a6b2-445b9de1836e}\.ba1\license.rtf
    • %User Temp%\{74d0e5db-b326-4dae-a6b2-445b9de1836e}\.ba1\{Random Digits}\thm.wxl
    • %User Temp%\{74d0e5db-b326-4dae-a6b2-445b9de1836e}\.ba1\BootstrapperApplicationData.xml
  • After uninstallation through ControlPanel or uninst.exe:
    • %User Temp%\~nsuA.tmp\Un_A.exe
    • %User Temp%\~nsuA.tmp\Un_B.exe

スパイウェアは、以下のプロセスを追加します。

  • "%User Temp%p\ns{Random Characters}.tmp\ns{Random Characters}.tmp" "vcredist.x86_2015.exe" /quiet /install /norestart
  • "vcredist.x86_2015.exe" /quiet /install /norestart
  • "%Program Files%\{BLOCKED}C51\vcredist.x86_2015.exe" /quiet /install /norestart -burn.unelevated BurnPipe.{Generated GUID 1} {Generated GUID 2} {Random Value}
  • "%Program Files%\{BLOCKED}C51\C51InvoiceGuide.exe"
  • After uninstallation through ControlPanel or uninst.exe:
    • "%User Temp%p\~nsuA.tmp\Un_B.exe" _?=%Program Files%\{BLOCKED}C51\
    • "%User Temp%p\ns{Random Characters}.tmp\ns{Random Characters}.tmp" "%System%\{BLOCKED}JSPCSP\{BLOCKED}_service_admin.exe" /stop
    • "%System%\{BLOCKED}JSPCSP\{BLOCKED}_service_admin.exe" /stop
    • "%User Temp%p\ns{Random Characters}.tmp\ns{Random Characters}.tmp" "%System%\{BLOCKED}JSPCSP\{BLOCKED}_service_admin.exe" /remove
    • "%System%\{BLOCKED}JSPCSP\{BLOCKED}_service_admin.exe" /remove

他のシステム変更

スパイウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\gbskf\
Provider\{BLOCKED} JSP SKF V1.0
Image Path = %System%\ai109b_gm.dll

HKEY_LOCAL_MACHINE\SOFTWARE\gbskf\
Provider\{BLOCKED} JSP SKF V1.0
DefaultApplication = SM2

HKEY_LOCAL_MACHINE\SOFTWARE\gbskf\
Provider\{BLOCKED} JSP SKF V1.0
DefaultContainer = SM2CONTAINER

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Cryptography\Defaults\Provider\
{BLOCKED} Cryptographic Service Provider V1.0
Image Path = %System%\{BLOCKED}JSPCSP\cspsign.dll

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Cryptography\Defaults\Provider\
{BLOCKED} Cryptographic Service Provider V1.0
Signature = {Hex Values}

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Cryptography\Defaults\Provider\
{BLOCKED} Cryptographic Service Provider V1.0
Type = 1

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Cryptography\Calais\SmartCards\
{BLOCKED}Soft JSP UsbKey
ATR = {Hex Values}

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Cryptography\Calais\SmartCards\
{BLOCKED}Soft JSP UsbKey
ATRMask = {Hex Values}

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Cryptography\Calais\SmartCards\
{BLOCKED}Soft JSP UsbKey
Crypto Provider = {BLOCKED} Cryptographic Service Provider V1.0

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
51楷翑忒
DisplayName = 51楷翑忒 1.3.8

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
51楷翑忒
DisplayIcon = %Program Files%\{BLOCKED}C51\logo.ico

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
51楷翑忒
UninstallString = %Program Files%\{BLOCKED}C51\uninst.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
51楷翑忒
DisplayVersion = 1.3.8

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
51楷翑忒
URLInfoAbout = http://www.{BLOCKED}.com

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
51楷翑忒
Publisher = {BLOCKED}

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
51楷翑忒
GroupFlag = 0

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
51楷翑忒
LocalFlag = 0

その他

スパイウェアは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\gbskf

HKEY_LOCAL_MACHINE\SOFTWARE\gbskf\
Provider

HKEY_LOCAL_MACHINE\SOFTWARE\gbskf\
Provider\{BLOCKED} JSP SKF V1.0

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Cryptography\Defaults\Provider\
{BLOCKED} Cryptographic Service Provider V1.0

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Cryptography\Calais\SmartCards\
{BLOCKED}Soft JSP UsbKey

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
51楷翑忒

  対応方法

対応検索エンジン: 9.800
初回 VSAPI パターンバージョン 17.116.05
初回 VSAPI パターンリリース日 2021年10月7日
VSAPI OPR パターンバージョン 17.117.00
VSAPI OPR パターンリリース日 2021年10月8日

手順 1

Windows 7、Windows 8、Windows 8.1、および Windows 10 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

手順 2

このマルウェアもしくはアドウェア等の実行により、手順中に記載されたすべてのファイル、フォルダおよびレジストリキーや値がコンピュータにインストールされるとは限りません。インストールが不完全である場合の他、オペレーティングシステム（OS）の条件によりインストールがされない場合が考えられます。手順中に記載されたファイル／フォルダ／レジストリ情報が確認されない場合、該当の手順の操作は不要ですので、次の手順に進んでください。

手順 3

自身のアンインストールオプションを使用し、「TrojanSpy.Win32.PSKEYLOGGER.A」を削除します。

[ 詳細 ]
マルウェアのプロセスの削除

手順 4

このレジストリ値を削除します。

[ 詳細 ]

警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。

  • In HKEY_LOCAL_MACHINE\SOFTWARE\gbskf\Provider\{BLOCKED} JSP SKF V1.0
    • Image Path = %System%\ai109b_gm.dll
  • In HKEY_LOCAL_MACHINE\SOFTWARE\gbskf\Provider\{BLOCKED} JSP SKF V1.0
    • DefaultApplication = SM2
  • In HKEY_LOCAL_MACHINE\SOFTWARE\gbskf\Provider\{BLOCKED} JSP SKF V1.0
    • DefaultContainer = SM2CONTAINER
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Cryptography\Calais\SmartCards\{BLOCKED}Soft JSP UsbKey
    • ATR = {Hex Values}
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Cryptography\Calais\SmartCards\{BLOCKED}Soft JSP UsbKey
    • ATRMask = {Hex Values}
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Cryptography\Calais\SmartCards\{BLOCKED}Soft JSP UsbKey
    • Crypto Provider = {BLOCKED} Cryptographic Service Provider V1.0
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Cryptography\Defaults\Provider\{BLOCKED} Cryptographic Service Provider V1.0
    • Image Path = %System%\{BLOCKED}JSPCSP\cspsign.dll
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Cryptography\Defaults\Provider\{BLOCKED} Cryptographic Service Provider V1.0
    • Signature = {Hex Values}
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Cryptography\Defaults\Provider\{BLOCKED} Cryptographic Service Provider V1.0
    • Type = 1

手順 5

このレジストリキーを削除します。

[ 詳細 ]

警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。

  • HKEY_LOCAL_MACHINE\SOFTWARE\gbskf
  • HKEY_LOCAL_MACHINE\SOFTWARE\gbskf\Provider
  • HKEY_LOCAL_MACHINE\SOFTWARE\gbskf\Provider\{BLOCKED} JSP SKF V1.0
  • HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Cryptography\Defaults\Provider\{BLOCKED} Cryptographic Service Provider V1.0
  • HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Cryptography\Calais\SmartCards\{BLOCKED}Soft JSP UsbKey

手順 6

以下のファイルを検索し削除します。

[ 詳細 ]
コンポーネントファイルが隠しファイル属性に設定されている場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。
  • %User Temp%\ns{Random Characters}.tmp\killer.dll
  • %User Temp%\ns{Random Characters}.tmp\System.dll
  • %User Temp%\ns{Random Characters}.tmp\KillProcDLL.dll
  • %User Temp%\ns{Random Characters}.tmp\nsExec.dll
  • %User Temp%\ns{Random Characters}.tmp\ns{Random Characters}.tmp
  • %System%\ai109b_gm.dll
  • %System%\CTptkcs.dll

手順 7

以下のフォルダを検索し削除します。

[ 詳細 ]
註：このフォルダは、隠しフォルダとして設定されている場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。
  • %User Temp%\ns{Random Characters}.tmp

手順 8

最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「TrojanSpy.Win32.PSKEYLOGGER.A」と検出したファイルはすべて削除してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。


ご利用はいかがでしたか？　アンケートにご協力ください