PE_URSNIF.A2

2014年12月11日

 プラットフォーム:

Windows

 危険度:
 ダメージ度:
 感染力:
 感染確認数:
 情報漏えい:


  • マルウェアタイプ: スパイウェア
  • 破壊活動の有無: なし
  • 暗号化:  
  • 感染報告の有無: はい

  概要

感染経路 インターネットからのダウンロード, 他のマルウェアからの作成

トレンドマイクロは、このスパイウェアをNoteworthy(要注意)に分類しました。

これは、情報を収集する「URSNIF」の亜種に関連する感染したEXEファイルおよびPDFファイルの検出名です。「PE_URSNIF.A-O」として検出されるこの情報を収集する感染マルウェアは、米国や英国といった国で影響を与えています。


  詳細

ファイルサイズ 193,536 bytes
タイプ EXE
メモリ常駐 はい
発見日 2015年1月13日
ペイロード URLまたはIPアドレスに接続, 情報収集

侵入方法

スパイウェアは、以下の方法でコンピュータに侵入します。

  • MSI files infected by PE_URSNIF.A-O

インストール

スパイウェアは、以下のフォルダを追加します。

  • %All Users Profile%\Application Data\SoftwareProtectionPlatform

(註:%All Users Profile%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\All Users”、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\ProgramData” です。.)

スパイウェアは、以下のファイルを作成します。

  • %System%\wsauth.exe - mother file detected as PE_URSNIF.A-O
  • %Application Data%\SoftwareProtectionPlatform\sppc.exe - mother file detected as PE_URSNIF.A-O

(註:%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.. %Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\<ユーザ名>\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\<ユーザ名>\AppData\Roaming" です。.)

スパイウェアのDLLコンポーネントは、以下のプロセスに組み込まれます。

  • explorer.exe
  • iexplore.exe
  • firefox.exe
  • chrome.exe
  • services.exe

自動実行方法

スパイウェアは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\wsauth
ImagePath = "%System%\wsauth.exe -s"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\wsauth
DisplayName = "Windows Software Protection"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\wsauth
Description = "This windows service enables the download, installation and enforcement of digital licenses for Windows and Windows applications. If the service is disabled, the operating system and licensed applications may run in a notification mode. It is strongly recommended that you not disable the Software Protection Service."

スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
dumpnsta = "%Application Data%\SoftwareProtectionPlatform\sppc.exe"

スパイウェアは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\wsauth

ファイル感染

スパイウェアは、以下のファイルに感染します。

  • *.pdf - detected as PE_URSNIF.A1
  • *.msi - detected as PE_URSNIF.A2
  • setup.exe

    It infects these files found in all removable and network drives

これは、トレンドマイクロの製品では、以下 により感染したファイルの検出名です。

  • PE_URSNIF.A-O

感染活動

スパイウェアは、以下のドライブ内に自身のコピーを作成します。

  • removable drives
  • network drives

スパイウェアは、ネットワークドライブ内に以下のように自身のコピーを作成します。

  • {drive letter}:\Temp.exe

スパイウェアは、すべてのリムーバブルドライブ内に以下として自身のコピーを作成します。

  • {drive letter}:\Temp.exe

情報漏えい

スパイウェアは、以下の情報を収集します。

  • System Information (Please see notes for more details)
  • Running processes and services
  • Installed device drivers
  • Programs installed
  • Screenshots

情報収集

スパイウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

  • where {domain} can be any of the following:
    • com
    • net
    • org
    • info
  • http://{random letters}.{domain}/pki/mscorp/crl/msiwww2.crl
  • http://{random letters}.{domain}/pki/mscorp/crl/MSIT%20Machine%20Auth%20CA%202(1).crl

その他

スパイウェアは、「PE_URSNIF.A-O」によって感染することで、コンピュータに侵入します。

スパイウェアは、「PE_URSNIF.A-O」として検出される親ファイルを作成します。

  • %Application Data%\SoftwareProtectionPlatform\sppc.exe
  • %System%\wsauth.exe

スパイウェアは、以下のファイルに感染します。

  • *.pdf(「PE_URSNIF.A1」として検出)
  • *.msi(「PE_URSNIF.A2」として検出)
  • setup.exe

スパイウェアは、すべてのリムーバブルドライブおよびネットワークドライブ内のこれらのファイルに感染します。

スパイウェアは、以下のドライブ内に自身のコピーを作成します。

  • リムーバブルドライブ
  • ネットワークドライブ

スパイウェアが収集する情報は以下のとおりです。

  • コンピュータ情報 (詳細はその他をご覧下さい。)
  • 実行中のプロセスおよびサービス
  • インストールされたデバイスドライバ
  • インストールされたプログラム
  • スクリーンショット

スパイウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

  • {domain}には以下のいずれかがあてはまります。
    • com
    • net
    • org
    • info
  • http://{random letters}.{domain}/pki/mscorp/crl/msiwww2.crl
  • http://{random letters}.{domain}/pki/mscorp/crl/MSIT%20Machine%20Auth%20CA%202(1).crl

これは、トレンドマイクロの製品では、感染コンピュータの無害PDFファイルを含む「PE_URSNIF.A-O」に感染した検出名となります。

スパイウェアは、以下を実行します。

  • スパイウェアは、DLLコンポーネントが"IEXPLORE.EXE"に読み込まれる際に、以下の"WININET.DLL"のエクスポートされた関数をフックし、ネットワークトラフィックを監視します。
    • HttpOpenRequestA
    • HttpOpenRequestW
    • HttpSendRequestA
    • HttpSendRequestW
    • HttpQueryInfoA
    • HttpQueryInfoW
    • InternetReadFile
    • InternetReadFileExA
    • InternetReadFileExW
    • InternetQueryDataAvailable
  • スパイウェアは、DLLコンポーネントが"FIREFOX.EXE"に読み込まれる際に、以下の"NSS3.DLL"または"NSPR4.DLL"のエクスポートされた関数をフックし、ネットワークトラフィックを監視します。
    • PR_Read
    • PR_Write
    • PR_Close
    • PR_Poll
    • PR_Available
  • スパイウェアは、DLLコンポーネントが"CHROME.EXE"に読み込まれる際に、"CHROME.DLL"によってエクスポートされる無名の関数をフックし、ネットワークトラフィックを監視します。
  • "CHROME.DLL"が確認されない場合は、"KERNEL32.DLL"によってエクスポートされる以下のAPIをフックします。
    • LoadLibraryA
    • LoadLibraryW
    • LoadLibraryExA
    • LoadLibraryExW
  • スパイウェアは、一時ファイル"%User Temp%\~{random}.tmp"を作成して、実行します。このファイルは、自身に埋め込まれたDLLコンポーネントを上述のプロセスに組み込みます。一時ファイルはその後、終了し削除されます。この作成されたコンポーネントは「TSPY_URSNIF.SM3」として検出されます。

(Note: %User Temp% is the user's temporary folder, where it usually is C:\Documents and Settings\{user name}\Local Settings\Temp on Windows 2000, Windows Server 2003, and Windows XP (32- and 64-bit); C:\Users\{user name}\AppData\Local\Temp on Windows Vista (32- and 64-bit), Windows 7 (32- and 64-bit), Windows 8 (32- and 64-bit), Windows 8.1 (32- and 64-bit), Windows Server 2008, and Windows Server 2012.)

スパイウェアは、コマンドプロンプト上にコマンドを送り、窃取した情報を収集します。

  • systeminfo
  • tasklist /SVC (プロセスおよびサービスを列挙)
  • driverquery (インストールされたドライバー上の情報を収集)
  • reg.exe query "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall" /s (インストールされたプログラムを収集)

Systeminfoは、以下のコンピュータ情報を返します。

  • ホスト名
  • オペレーティングシステム(OS)名およびバージョン、 製造者、環境設定、製造タイプ
  • 登録された所有者および企業
  • 製品ID
  • 最初のインストール日
  • コンピュータの動作可能時間
  • コンピュータの製造者およびモデル、タイプ
  • プロセッサ
  • BIOSのバージョン
  • Windowsおよびコンピュータのディレクトリ
  • ブート装置
  • コンピュータの入力ロケール
  • タイムゾーン
  • 総メモリ量と利用可能なメモリ量
  • 仮想メモリの情報(最大,利用可能,使用中)
  • ページファイルの位置
  • ドメイン
  • ログオンサーバ
  • ホットフィックス
  • ネットワークカード

収集された情報は、一時ファイル"%User Temp%\~{random}.tmp"に保存されます。このファイルは、収集した情報のダンプおよびログファイルとして機能を果たします。このファイルが自身のコマンド&コントロール(C&C)サーバに送信された後、スパイウェアはこのファイルを削除します。


  対応方法

対応検索エンジン: 9.700
初回 VSAPI パターンバージョン 11.330.04
初回 VSAPI パターンリリース日 2014年12月8日
VSAPI OPR パターンバージョン 11.331.00
VSAPI OPR パターンリリース日 2014年12月8日

手順 1

Windows XP、Windows Vista および Windows 7 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

手順 2

このマルウェアもしくはアドウェア等の実行により、手順中に記載されたすべてのファイル、フォルダおよびレジストリキーや値がコンピュータにインストールされるとは限りません。インストールが不完全である場合の他、オペレーティングシステム(OS)の条件によりインストールがされない場合が考えられます。手順中に記載されたファイル/フォルダ/レジストリ情報が確認されない場合、該当の手順の操作は不要ですので、次の手順に進んでください。

手順 3

「PE_URSNIF.A2」 が作成またはダウンロードした不正なファイルを削除します。(註:以下のマルウェアもしくはアドウェア等がすでに削除されている場合は、本手順は行う必要はありません。)

    • PE_URSNIF.A1
    • TSPY_URSNIF.SM3
    • PE_URSNIF.A-O

手順 4

Windowsをセーフモードで再起動します。

[ 詳細 ]

手順 5

以下のレジストリキーを削除します。

[ 詳細 ]

警告:レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。レジストリの編集前にこちらをご参照ください。

  • In HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services
    • wsauth

手順 6

このレジストリ値を削除します。

[ 詳細 ]

警告:レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。

  • In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
    • dumpnsta = "%Application Data%\SoftwareProtectionPlatform\sppc.exe"

手順 7

以下のフォルダを検索し削除します。

[ 詳細 ]
註:このフォルダは、隠しフォルダとして設定されている場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。
  • %Application Data%\SoftwareProtectionPlatform

手順 8

以下のファイルを検索し削除します。

[ 詳細 ]
コンポーネントファイルが隠しファイル属性の場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。  
  • %User Temp%\~{random}.tmp

手順 9

コンピュータを通常モードで再起動し、最新のバージョン(エンジン、パターンファイル)を導入したウイルス対策製品を用い、「PE_URSNIF.A2」と検出したファイルの検索を実行してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。


ご利用はいかがでしたか? アンケートにご協力ください