TROJ_GAMETHI.FMS

マルウェアは、リモートサイトから他のマルウェアまたはグレイウェアにダウンロードされ、コンピュータに侵入します。

ただし、情報公開日現在、このWebサイトにはアクセスできません。

マルウェアは、特定のオンラインゲームに関連するユーザ名やパスワードといった個人情報を収集します。

マルウェアは、イベントを作成します。 マルウェアは、実行後、自身を削除します。

侵入方法

マルウェアは、リモートサイトから以下のマルウェアまたはグレイウェアにダウンロードされ、コンピュータに侵入します。

• JS_SHELLCOD.SMGU

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %system%{5 random characters}.exe

マルウェアは、以下のプロセスに自身を組み込み、システムのプロセスに常駐します。

• EXPLORER.EXE

自動実行方法

マルウェアは、以下のレジストリ値を変更して自身のセーフモードでの実行を可能にします。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
Userinit = %system%\userinit.exe,aoots.exe

(註：変更前の上記レジストリ値は、「%system%\userinit.exe,」となります。)

プロセスの終了

マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• ALUSCHEDULERSVC.EXE
• ASHDISP.EXE
• AVGNT.EXE
• AVGRSX.EXE
• AVP.EXE
• AYAGENT.AYE
• AYUpdate.aye
• EKRN.EXE
• SfFnUp.exe
• UFSEAGNT.EXE
• UfUpdUi.exe
• VSTSKMGR.EXE
• avast.setup
• avgupd.exe
• luall.exe
• mcupdate.exe
• preupd.exe
• setup.ovr
• update.exe

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスして自身のコンポーネントファイルをダウンロードします。

• www.{BLOCKED}hhuo.net/mljs11/heihaahhuo.png
• 23weer.7{BLOCKED}.com/23weer/23weer.gif

ただし、情報公開日現在、このWebサイトにはアクセスできません。

情報漏えい

マルウェアは、以下のオンラインゲームに関連するユーザ名やパスワードといった個人情報を収集します。

• Maple Story
• Dungeon Fighter
• Ragnarok Online
• World of Warcraft
• Twelve Sky 2
• Red Stone
• Tales Weaver
• FIFA

その他

マルウェアは、以下のイベントを作成します。

• MN_XADLEBDGTWUIAIHDIIASDOOAOIDCDDD0
• DWONS_ASMAPING_BCGFATTQYGUADUUYATYM

マルウェアは、実行後、自身を削除します。

マルウェアは、以下のレジストリを問い合わせることによって、コンピュータの言語を確認します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Nls\Language

設定されている言語が「中国語」の場合、マルウェアは、不正な活動を行いません。

マルウェアは、以下のプロセスを監視することによって、上記のゲームにおけるユーザのアカウント情報を収集します。

• maplestory.exe
• arad.exe
• ragexe.exe
• ragurdrexe.exe
• wow.exe
• gersang.exe
• twelvesky2.exe
• RedStone.exe
• InphaseNXD.exe
• dnf.exe
• ff2client.exe
• _beanfuncore.exe
• elementclient.exe
• ragfree.exe
• pcotp.exe