TROJANSPY.WIN32.LOKI.AW.HP

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、以下のファイルを作成します。

• %Application Data%\{Random Characters}\{Random Characters}.lck

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

スパイウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Application Data%\{random characters}\{random characters}.exe

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

スパイウェアは、以下のフォルダを作成します。

• %Application Data%\{random characters}

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

スパイウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• F763FD6CB32A01D7B8238AA4

スパイウェアは、感染コンピュータ上のメモリに以下のプロセスを確認すると、自身を終了します。

• procexp64exe
• procmon64.exe
• procmon.exe
• ollydbg.exe
• procexp.exe
• windbg.exe

プロセスの終了

スパイウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• avastsvc.exe
• aavastui.exe
• avgsvc.exe
• iavgui.exe

情報漏えい

トロイの木馬化されたアプリケーションが実行されると、[Malware]は、以下の情報を収集します。

• User name
• Computer Name

スパイウェアは、コンピュータ内に以下のFTPクライアントまたはファイルマネージャのアカウント情報が保存されている場合、これらのアカウント情報を収集します。

• AbleFTP10
• AbleFTP11
• AbleFTP12
• AbleFTP13
• AbleFTP14
• AbleFTP7
• AbleFTP8
• AbleFTP9
• ALFTP
• Automize10
• Automize11
• Automize12
• Automize13
• Automize14
• Automize7
• Automize8
• Automize9
• BlazeFtp
• Cyberduck
• DeluxeFTP
• EasyFTP
• ExpanDrive
• Far
• Far Manager
• Far2
• Fastream
• FileZilla
• FlashFXP
• FTP Now
• FTPBox
• FTPGetter
• FTPInfo
• FTPShell
• GHISLER
• GoFTP
• JaSFtp10
• JaSFtp11
• JaSFtp12
• JaSFtp13
• JaSFtp14
• JaSFtp7
• JaSFtp8
• JaSFtp9
• LinasFTP
• MyFTP
• NexusFile
• Notepad++ NppFTP
• NovaFTP
• SftpNetDrive
• sherrod FTP
• SmartFTP
• Staff-FTP
• Steed
• SuperPutty
• Xftp

スパイウェアは、保存されている以下のEメール認証情報を収集します。

• Foxmail
• OUTLOOK
• pocomail
• GmailNotifierPro
• Opera Mail
• Mail2
• ymail
• TrulyMail

スパイウェアは、以下のブラウザから、ユーザ名、パスワードやホスト名といった保存された情報を収集します。

• 360Browser
• Chrome
• ChromeSxS
• Chromium
• ChromiumViewer
• Chromodo
• Citrio
• CocCoc
• Comodo
• Coowon
• Cyberduck
• Epic Privacy Browser
• Firefox
• Iridium
• Lunascape
• MapleStudio ChromePlus
• Mustang Browser
• Nichrome
• Opera
• Orbitum
• QupZilla
• RockMelt
• Spark
• SuperBird
• Titan
• Torch
• Vivaldi
• YandexBrowwer

情報収集

スパイウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

• http://{BLOCKED}p.co/{BLOCKED}oo/kertyuiodgf/fre.php