TrojanSpy.AutoIt.DARKGATE.AA

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

スパイウェアは、ユーザのキー入力操作情報を記録し、情報を収集します。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、以下のファイルを作成します。

• %System Root%\temp\AutoIt3.exe
• %System Root%\temp\{7 Characters Generated for "au3file"}.au3
• %ProgramData%\{7 Characters Generated for "mainfolder"}\AutoIt3.exe
• %ProgramData%\{7 Characters Generated for "mainfolder"}\{7 Characters Generated for "au3file"}.au3
• %ProgramData%\{7 Characters Generated for "mainfolder"}\{7 Characters Generated for "logsfolder"}\{7 Characters Generated for "settings"} ← Encrypted malware settings
• %ProgramData%\{7 Characters Generated for "mainfolder"}\{7 Characters Generated for "logsfolder"}\{DD-MM-YYYY}.log ← Encrypted keylogs and clipboard data

(註：%System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.. %ProgramData%フォルダは、マルチユーザーシステムにおいて任意のユーザがプログラムに変更を加えることができるプログラムファイルフォルダのバージョンです。これには、すべてのユーザのアプリケーションデータが含まれます。Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData" です。Windows Server 2003(32-bit)、2000(32-bit)、XPの場合、通常 "C:\Documents and Settings\All Users" です。 )

スパイウェアは、以下のフォルダを作成します。

• %System Root%\temp
• %ProgramData%\{7 Characters Generated for "mainfolder"}
• %ProgramData%\{7 Characters Generated for "mainfolder"}\{7 Characters Generated for "logsfolder"}
• %User Temp%\{7 Characters Generated for "supertemp"}

(註：%System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.. %ProgramData%フォルダは、マルチユーザーシステムにおいて任意のユーザがプログラムに変更を加えることができるプログラムファイルフォルダのバージョンです。これには、すべてのユーザのアプリケーションデータが含まれます。Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData" です。Windows Server 2003(32-bit)、2000(32-bit)、XPの場合、通常 "C:\Documents and Settings\All Users" です。 . %User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

自動実行方法

スパイウェアは、Windows起動時に自動実行されるよう＜User Startup＞フォルダ内に以下のファイルを作成します。

• %User Startup%\{7 Characters Generated for the LNK file}.lnk

(註：%User Startup%フォルダは、現在ログオンしているユーザのスタートアップフォルダです。Windows 98およびMEの場合、通常 "C:\Windows\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows NTの場合、通常 "C:\WINNT\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows 2003(32-bit)、XP、2000(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows Vista、7、8、 8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup" です。)

他のシステム変更

スパイウェアは、以下のレジストリ値を変更します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\Windows Error Reporting
DontShowUI = 1

バックドア活動

スパイウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Collect system information and other data
• Start or stop malware components, control malware settings
• Start, stop, and configure cryptominer
• Steal data from various programs and data sources
• Initiate hVNC connection, hAnydesk, remote desktop protocol, execute commands
• Steal browser data
• Browse directories and manage files
• Update the malware, download additional components

スパイウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• http://{BLOCKED}vservicceoffice.net:80

情報漏えい

スパイウェアは、以下の情報を収集します。

• Language Code ID
• Username
• Computer name
• Parent process
• Number of seconds from the user’s last interaction with the PC
• Processor information
• Graphics information
• Total Physical Memory space in MB
• OS Information
• Admin privileges
• Malware start time
• Name of Antivirus found
• Malware version
• Port number
• Clipboard data

スパイウェアは、ユーザのキー入力操作情報を記録し、情報を収集します。

情報収集

スパイウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

• http://{BLOCKED}vservicceoffice.net:80

その他

スパイウェアは、以下を実行します。

• It proceeds to its malicious routine if the following conditions are satisfied:
  • Existence of %Program Files% directory
  • Username is not SYSTEM
  • Malware file has a .au3 extension
• It displays the following if there is no ".au3" file found:
  
• Starts a process to stay memory-resident by injecting code to the added process:
  • C:\Program Files (x86)\{Path of a file with .exe extension}
  • %System%\cmd.exe ← If C:\Program Files (x86) path does not exist or no .exe file was found
• It checks the following to identify Anti-Virus and Security Applications found in the system:
  • Existence of the following directory:
    • %ProgramData%\Bitdefender
    • %Program Files%\Bitdefender
    • %ProgramData%\AVAST
    • %Program Files%\AVAST Software
    • %ProgramData%\AVG
    • %Program Files%\AVG
    • %ProgramData%\Kaspersky Lab
    • %Program Files% (x86)\Avira
    • %Program Files% (x86)\IObit
    • %Program Files%\Malwarebytes
    • %Program Files% (x86)\F-Secure
    • %Program Files%\Quick Heal
    • %ProgramData%\Emsisoft
    • %Program Files%\Malwarebytes
  
  
  • Running process:
    • egui
    • ns.exe
    • nis.exe
    • nortonsecurity.exe
    • smc.exe
    • uiseagnt.exe
    • mcshield.exe
    • mcuicnt.exe
    • bytefence.exe
    • cis.exe
    • mbam.exe
    • vkise.exe
    • superantispyware.exe
    • totalav.exe
    • qhsafetray.exe
    • sdscan.exe
    • psuaservice.exe