TROJANSPY.WIN32.GOLROTED.THAOOEAH

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

トレンドマイクロは、悪意のあるARJファイルを拡散するスパムメール送信活動を確認しました。マルウェアは、このスパムメールキャンペーンで作成されるペイロードです。ブラウザからシステム情報とユーザ名とパスワードを窃取し、複数の電子メールサービスに格納された電子メール認証情報を窃取する機能を備えています。

スパイウェアは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。 スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

スパイウェアは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

• %User Temp%\tmp{Random Filename}.tmp

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

スパイウェアは、以下のプロセスを追加します。

• "%Windows%\Microsoft.NET\Framework\v2.0.50727\vbc.exe" /stext "%User Temp%\tmp{Random Filename}.tmp"

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

情報漏えい

スパイウェアは、以下の情報を収集します。

• Computer name
• Local Date and Time
• Installed Language
• Operating System Platform
• Operating System Version
• Key logs
• Clipboard logs
• • Stealing account information from the following applications:
  • Minecraft
  • FileZilla

スパイウェアは、保存されている以下のEメール認証情報を収集します。

• Thunderbird
• Eudora
• Internet Account Manager
• MS Outlook
• Outlook Express
• Group Mail Free
• IncrediMail
• Windows Mail
• Windows Live Mail
• Yahoo! Mail
• Gmail
• Facebook

スパイウェアは、以下のブラウザから、ユーザ名、パスワードやホスト名といった保存された情報を収集します。

• Firefox
• SeaMonkey
• YandexBrowser
• Vivaldi
• Chrome
• Chromium
• Opera
• Internet Explorer

情報収集

スパイウェアは、SMTPを用いて、自身が収集した情報を以下のEメールアドレスに送信します。

• {BLOCKED}ns@{BLOCKED}oup.space

＜補足＞
情報漏えい

スパイウェアは、以下の情報を収集します。

• コンピュータ名
• 現地日時
• インストールされた言語
• オペレーティングシステム（OS）のプラットフォーム
• OSのバージョン
• キー入力操作の記録
• クリップボードの記録
• 以下のアプリケーションからアカウント情報を窃取
  • Minecraft
  • FileZilla

その他

スパイウェアは、以下のファイル、あるいは文字列が存在した場合、自身を終了します。

• 仮想マシン:
  • VMwareVMware
  • XenVMMXenVMM
  • prl hyperv
  • Microsoft Hv
  • KVMKVMKVM
• 監視ツール:
  • procexp64.exe
  • procmon64.exe
  • procmon.exe
  • ollydbg.exe
  • procexp.exe
  • Windbg.exe
• サンドボックス:
  • SbieDll.dll
• スパイウェアのファイルパス:
  • sandbox
  • malware
  • sample
  • virus
  • self

スパイウェアは、以下のURLに接続します。

• {BLOCKED}.{BLOCKED}oup.space

スパイウェアは、以下の認証情報を利用し、クリップボードから収集した情報を電子メールでC&Cサーバへ送信します。

• メールアドレス：{BLOCKED}ns@{BLOCKED}oup.space
• パスワード：windows9
• Body: HawkEye Keylogger -
  Reborn v8
  Clipboard Logs
  Username \ {コンピュータ名}
  
  
  
  
  ============= {時間}Program Manager=============
  {クリップボードの内容}