TrojanSpy.Win32.GOLROTED.S

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、特定のオンラインゲームに関連するユーザ名やパスワードといった個人情報を収集します。 スパイウェアは、ユーザのキー入力操作情報を記録し、情報を収集します。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、以下のファイルを作成します。

• %Application Data%/WinMgmt/AuthFWizFwk.exe
• %User Startup%/pcalua.vbs → executed the dropped file AuthFWizFwk.exe
• %User Temp%/Tar{4 random characters}.tmp <- temporary encrypted config file, deleted afterwards

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。. %User Startup%フォルダは、現在ログオンしているユーザのスタートアップフォルダです。Windows 98およびMEの場合、通常 "C:\Windows\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows NTの場合、通常 "C:\WINNT\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows 2003(32-bit)、XP、2000(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows Vista、7、8、 8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup" です。. %User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

スパイウェアは、以下のプロセスを追加します。

• cmd.exe /C TASKKILL /F /IM wscript.exe
• cmd.exe /C TASKKILL /F /IM cmd.exe
• "%Windows%\Microsoft.NET\Framework\v2.0.50727\vbc.exe" /stext "%User Temp%\tmp6D31.tmp"
• %Windows%\Microsoft.NET\Framework\v2.0.50727\RegSvcs.exe

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

スパイウェアは、以下のフォルダを作成します。

• %Application Data%\WinMgmt

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

情報漏えい

スパイウェアは、以下のオンラインゲームに関連するユーザ名やパスワードといった個人情報を収集します。

• Minecraft

スパイウェアは、以下の情報を収集します。

• Computer name
• Local Date and Time
• Installed Language
• Operating System Platform
• Operating System Version
• Key logs
• Clipboard logs
• Language
• .NET framework Installed
• System Privilege
• Default Browser
• List of installed AV products
• List of installed Firewall
• Internal IP
• External IP

スパイウェアは、コンピュータ内に以下のFTPクライアントまたはファイルマネージャのアカウント情報が保存されている場合、これらのアカウント情報を収集します。

• FileZilla
• CoreFTP

スパイウェアは、保存されている以下のEメール認証情報を収集します。

• Thunderbird
• Eudora
• Internet Account Manager
• MS Outlook
• Outlook Express
• Group Mail Free
• IncrediMail
• Windows Mail
• Windows Live Mail
• Yahoo! Mail
• Gmail
• Facebook

スパイウェアは、以下のブラウザから、ユーザ名、パスワードやホスト名といった保存された情報を収集します。

• Firefox
• SeaMonkey
• YandexBrowser
• Vivaldi
• Chrome
• Chromium
• Opera
• Internet Explorer
• Apple Safari
• Opera

スパイウェアは、ユーザのキー入力操作情報を記録し、情報を収集します。

情報収集

スパイウェアは、SMTPを用いて、自身が収集した情報を以下のEメールアドレスに送信します。

• {BLOCKED}t@spytector.com