TROJ_GAMETHI.SMO

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、特定のオンラインゲームに関連するユーザ名やパスワードといった個人情報を収集します。

マルウェアは、イベントを作成します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %System%\{random five letters}.exe

(註：%System%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では "C:\Windows\System32" です。)

マルウェアは、以下のプロセスに自身を組み込み、システムのプロセスに常駐します。

• explorer.exe
• Iexplore.exe

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
Userinit = "%System%\userinit.exe,{random five letters}.exe"

(註：変更前の上記レジストリ値は、「%System%\userinit.exe,」となります。)

プロセスの終了

マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• ALUSCHEDULERSVC.EXE
• ASHDISP.EXE
• avast.setup
• AVGNT.EXE
• AVGRSX.EXE
• avgupd.exe
• avgupd.exe
• AVP.EXE
• AYAGENT.AYE
• AYUpdate.aye
• BDAGENT.EXE
• CCSVCHST.EXE
• eguiEmon.dll
• eguiEpfw.dll
• EKRN.EXE
• ekrnEmon.dll
• ekrnEpfw.dll
• LIVESRV.EXE
• luall.exe
• mcupdate.exe
• preupd.exe
• prupdate.ppl
• setup.ovr
• SfFnUp.exe
• UFSEAGNT.EXE
• UfUpdUi.exe
• Update.exe
• updater.dll
• VCRMON.EXE
• VSTSKMGR.EXE
• vsupdate.dll

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスして自身のコンポーネントファイルをダウンロードします。

• http://{BLOCKED}na.com/images/china.gif
• http://{BLOCKED}na.com/images/china.jpg
• http://{BLOCKED}na.com/images/china.bmp

情報漏えい

マルウェアは、以下のオンラインゲームに関連するユーザ名やパスワードといった個人情報を収集します。

• MapleStory
• Arad Senki
• Ragnarok Online
• World of Warcraft
• Gersang
• Blue Sky
• Twelve Sky
• Red Stone
• Dungeon Fighter
• Play Online
• Gamania
• AION GameClient
• Xtreme Jade
• Neowiz Games

その他

マルウェアは、以下のイベントを作成します。

• MN_XADLEBCBAXCSDFGEWQCDDD0
• DWONS_ASMAPING_XADADAKEUPOIUY98753M