TrojanSpy.MSIL.AZORULT.AG

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、以下のファイルを作成します。

• %Application Data%\Windata\svchosts.exe

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

スパイウェアは、以下のプロセスを追加します。

• %Windows%\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

スパイウェアは、以下のフォルダを作成します。

• %Application Data%\Windata\

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

スパイウェアは、以下のプロセスにコードを組み込みます。

• %Windows%\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

自動実行方法

スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
HIDGOD = "%Application Data%\Windata\svchosts.exe"

バックドア活動

スパイウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Take Screenshots
• Operate Webcam
• Change Desktop Wallpaper
• Operate CD Drive
• Zip/Unzip Files
• Download/Execute/Copy/Upload Files
• Operate Windows
• Operate Mouse
• Execute/Kill Process
• Operate Clipboard
• Operate CMD
• Shutdown/LogOff/Reboot
• Log Keystrokes
• Play Sounds

スパイウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• 888myrat.{BLOCKED}s.org:4000

情報漏えい

スパイウェアは、以下の情報を収集します。

• Username
• OS Version
• System Architecture
• Screen Resolution
• All Drives
• Running Processes
• CPU Model
• Computer Name
• Time Zone
• Computer Time
• Installed Programs
• Keyboard Layout
• Network Information
• Wlan Profiles
• Firewall Settings
• Browser Cookies, Credentials, Profiles of the following browsers:
  • Firefox
  • Opera
  • Chrome
• FTP Credentials
  • Filezilla
• Installed Antivirus