TrojanSpy.Win32.RACEALER.K

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、以下のプロセスを追加します。

• "%User Temp%\is-U6L38.tmp\{malware file name}.tmp" /SL5="$40122,4604528,58368,{malware file path and name}"
• "cmd.exe" /c "start "
• "%Program Files%\Speedup\son.exe"
• "%Program Files%\Speedup\coons.exe"
• "%Program Files%\Speedup\soft1.exe"
• "%Program Files%\Speedup\sim.exe"
• %System%\cmd.exe /c ping 127.0.0.1 && del "%Program Files%\Speedup\soft1.exe"
• "cmd" /c smss.com & type lsm.com >> smss.com & del lsm.com & certutil -decode bolo.com treaz & smss.com treaz & timeout 3
• certutil -decode bolo.com treaz
• smss.com treaz
• timeout 3
• "%Program Files%\Internet Explorer\IEXPLORE.EXE" SCODEF:2252 CREDAT:275457 /prefetch:2
• "%Program Files%\Internet Explorer\IEXPLORE.EXE" SCODEF:2604 CREDAT:275457 /prefetch:2
• "%Program Files%\Internet Explorer\IEXPLORE.EXE" SCODEF:392 CREDAT:275457 /prefetch:2
• %System%\lsass.exe
• %Windows%\Microsoft.NET\Framework\v4.0.30319\mscorsvw.exe
• %System%\svchost.exe -k LocalServiceAndNoImpersonation
• %System%\svchost.exe -k NetworkService
• %Windows%\Microsoft.NET\Framework64\v4.0.30319\mscorsvw.exe
• %System%\sppsvc.exe
• "%System Root%\Program Files\Windows Media Player\wmpnetwk.exe"
• %Application Data%\smss.com treaz
• %System%\PING.EXE ping 127.0.0.1

スパイウェアは、以下のフォルダを作成します。

• %Application Data%\Microsoft\Windows\PrivacIE
• %System Root%\Users
• %User Temp%\is-LODH7.tmp\_isetup
• %Application Data%\Microsoft\Windows\IECompatCache
• %Application Data%\Microsoft\Windows\IECompatUACache
• %Windows%\ServiceProfiles\NetworkService\AppData\Local\Microsoft
• %Program Files%\Speedup
• %AppDataLocal%\Microsoft\Internet Explorer\Recovery\High\Active
• %Application Data%\Microsoft\Windows\DNTException
• %User Profile%\AppData
• %All Users Profile%\Microsoft\Windows\Start Menu\Programs\Speedup
• %AppDataLocal%\Microsoft\Internet Explorer\DomainSuggestions

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。. %System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.. %User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.. %Program Files%フォルダは、デフォルトのプログラムファイルフォルダです。C:\Program Files in Windows 2000(32-bit)、Server 2003(32-bit)、XP、Vista(64-bit)、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files"です。また、Windows XP(64-bit)、Vista(64-bit)、7(64-bit)、8(64-bit)、8.1(64-bit)、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files（x86）" です。. %AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。. %User Profile%フォルダは、現在ログオンしているユーザのプロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞" です。. %All Users Profile%フォルダは、ユーザの共通プロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\All Users” です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData” です。)

他のシステム変更

スパイウェアは、以下のファイルを改変します。

• %AppDataLocal%\Microsoft\Internet Explorer\Recovery\High\Active\RecoveryStore.{9874988A-0337-11EA-A193-005056BC5B9B}.dat
• %AppDataLocal%\Microsoft\Internet Explorer\Recovery\High\Active\RecoveryStore.{9874717A-0337-11EA-A193-005056BC5B9B}.dat
• %AppDataLocal%\Microsoft\Internet Explorer\Recovery\High\Last Active\RecoveryStore.{4555A5E7-C06D-11E6-8AB1-005056BC3E18}.dat

(註：%AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)

スパイウェアは、以下のファイルを削除します。

• %All Users Profile%\Microsoft\Windows\Start Menu\Programs\Speedup\Speedup.pif
• %Windows%\cer9961.tmp
• %All Users Profile%\Microsoft\Windows\Start Menu\Programs\Speedup\Speedup.url
• %AppDataLocal%Low\Microsoft\Internet Explorer\Services\search_{0633EE93-D776-472f-A0FF-E1416B8B2E3A}.ico
• %Windows%\LastGood.Tmp
• %AppDataLocal%\Microsoft\Internet Explorer\Recovery\High\Last Active\{AD285A8B-713F-11E9-85F8-005056BC44A9}.dat

(註：%All Users Profile%フォルダは、ユーザの共通プロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\All Users” です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData” です。. %Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.. %AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)

スパイウェアは、以下のフォルダを削除します。

• %User Temp%\nsu7935.tmp

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

スパイウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
RestartManager\Session0000
Owner = "\xc8\x08\x00\x00\x89\xb6JRD\x97\xd5\x01"

HKEY_CURRENT_USER\Software\Microsoft\
RestartManager\Session0000
SessionHash = "{random characters}"

HKEY_CURRENT_USER\Software\Microsoft\
RestartManager\Session0000
Sequence = "1"

HKEY_CURRENT_USER\Software\Microsoft\
RestartManager\Session0000
RegFiles0000 = "\x00\x00\x00\x00"

HKEY_CURRENT_USER\Software\Microsoft\
RestartManager\Session0000
RegFilesHash = "{random characters}"

HKEY_CURRENT_USER\Software\SolwaysSoftware\
InternetTV&RADIO
InternetTVRadio = "%Program Files%\Solways\InternetTV&Radion\solvradio.exe"

HKEY_CURRENT_USER\Software\SolwaysSoftware\
InternetTV&RADIO
Version = "5.2.0"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
Microsoft\Windows\CurrentVersion\
Uninstall\{04D07B90-FA60-4F65-804A-525ACD525913}_is1
Inno Setup: Setup Version = "5.6.1 (a)"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
Microsoft\Windows\CurrentVersion\
Uninstall\{04D07B90-FA60-4F65-804A-525ACD525913}_is1
Inno Setup: App Path = "%Program Files%\Speedup"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
Microsoft\Windows\CurrentVersion\
Uninstall\{04D07B90-FA60-4F65-804A-525ACD525913}_is1
InstallLocation = "%Program Files%\Speedup"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
Microsoft\Windows\CurrentVersion\
Uninstall\{04D07B90-FA60-4F65-804A-525ACD525913}_is1
Inno Setup: Icon Group = "Speedup"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
Microsoft\Windows\CurrentVersion\
Uninstall\{04D07B90-FA60-4F65-804A-525ACD525913}_is1
Inno Setup: User = "{username}"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
Microsoft\Windows\CurrentVersion\
Uninstall\{04D07B90-FA60-4F65-804A-525ACD525913}_is1
Inno Setup: Selected Tasks = ""

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
Microsoft\Windows\CurrentVersion\
Uninstall\{04D07B90-FA60-4F65-804A-525ACD525913}_is1
Inno Setup: Deselected Tasks = "desktopicon"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
Microsoft\Windows\CurrentVersion\
Uninstall\{04D07B90-FA60-4F65-804A-525ACD525913}_is1
Inno Setup: Language = "english"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
Microsoft\Windows\CurrentVersion\
Uninstall\{04D07B90-FA60-4F65-804A-525ACD525913}_is1
DisplayName = "TvRadioOnline"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
Microsoft\Windows\CurrentVersion\
Uninstall\{04D07B90-FA60-4F65-804A-525ACD525913}_is1
UninstallString = "%Program Files%\Speedup\unins000.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
Microsoft\Windows\CurrentVersion\
Uninstall\{04D07B90-FA60-4F65-804A-525ACD525913}_is1
QuietUninstallString = "%Program Files%\Speedup\unins000.exe /SILENT"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
Microsoft\Windows\CurrentVersion\
Uninstall\{04D07B90-FA60-4F65-804A-525ACD525913}_is1
DisplayVersion = "4.8"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
Microsoft\Windows\CurrentVersion\
Uninstall\{04D07B90-FA60-4F65-804A-525ACD525913}_is1
Publisher = "Speedup inc"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
Microsoft\Windows\CurrentVersion\
Uninstall\{04D07B90-FA60-4F65-804A-525ACD525913}_is1
URLInfoAbout = "http://{BLOCKED}p.services"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
Microsoft\Windows\CurrentVersion\
Uninstall\{04D07B90-FA60-4F65-804A-525ACD525913}_is1
HelpLink = "http://{BLOCKED}p.services/eula.html"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
Microsoft\Windows\CurrentVersion\
Uninstall\{04D07B90-FA60-4F65-804A-525ACD525913}_is1
URLUpdateInfo = "http://{BLOCKED}p.services/privacy-policy.html"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
Microsoft\Windows\CurrentVersion\
Uninstall\{04D07B90-FA60-4F65-804A-525ACD525913}_is1
NoModify = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
Microsoft\Windows\CurrentVersion\
Uninstall\{04D07B90-FA60-4F65-804A-525ACD525913}_is1
NoRepair = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
Microsoft\Windows\CurrentVersion\
Uninstall\{04D07B90-FA60-4F65-804A-525ACD525913}_is1
InstallDate = "20191110"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
Microsoft\Windows\CurrentVersion\
Uninstall\{04D07B90-FA60-4F65-804A-525ACD525913}_is1
MajorVersion = "4"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
Microsoft\Windows\CurrentVersion\
Uninstall\{04D07B90-FA60-4F65-804A-525ACD525913}_is1
MinorVersion = "8"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
Microsoft\Windows\CurrentVersion\
Uninstall\{04D07B90-FA60-4F65-804A-525ACD525913}_is1
VersionMajor = "4"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
Microsoft\Windows\CurrentVersion\
Uninstall\{04D07B90-FA60-4F65-804A-525ACD525913}_is1
VersionMinor = "8"

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
Microsoft\Windows\CurrentVersion\
Uninstall\{04D07B90-FA60-4F65-804A-525ACD525913}_is1
EstimatedSize = "8026"

スパイウェアは、以下のレジストリキーを削除します。

HKEY_CURRENT_USER\Software\Microsoft\
RestartManager\Session0000\RegFilesHash

HKEY_CURRENT_USER\Software\Microsoft\
RestartManager\Session0000\RegFiles0000

HKEY_CURRENT_USER\Software\Microsoft\
RestartManager\Session0000\Sequence

HKEY_CURRENT_USER\Software\Microsoft\
RestartManager\Session0000\SessionHash

HKEY_CURRENT_USER\Software\Microsoft\
RestartManager\Session0000\Owner

作成活動

スパイウェアは、以下のファイルを作成します。

• %All Users Profile%\Microsoft\Windows\Start Menu\Programs\Speedup\Speedup.lnk
• %Application Data%\dKNP.com
• %Program Files%\Speedup\sim.exe
• %User Temp%\is-LODH7.tmp\_isetup\_isdecmp.dll
• %AppDataLocal%\Microsoft\Internet Explorer\Recovery\High\Active\RecoveryStore.{9874988A-0337-11EA-A193-005056BC5B9B}.dat
• %Application Data%\smss.com
• %Program Files%\Speedup\unins000.dat
• %Program Files%\Speedup\soft1.exe
• %AppDataLocal%\Microsoft\Internet Explorer\Recovery\High\Active\{A0D9EC11-0337-11EA-A193-005056BC5B9B}.dat
• %Application Data%\bolo.com
• %Application Data%\treaz
• %AppDataLocal%\Microsoft\Internet Explorer\Recovery\High\Active\{9874988C-0337-11EA-A193-005056BC5B9B}.dat
• %Program Files%\Speedup\is-7APO6.tmp
• %Program Files%\Speedup\son.exe
• %Program Files%\Speedup\is-7CHP7.tmp
• %AppDataLocal%\Microsoft\Internet Explorer\Recovery\High\Active\{9874717C-0337-11EA-A193-005056BC5B9B}.dat
• %Application Data%\lsm.com
• %AppDataLocal%\Microsoft\Internet Explorer\Recovery\High\Last Active\RecoveryStore.{4555A5E7-C06D-11E6-8AB1-005056BC3E18}.dat
• %AppDataLocal%\Microsoft\Media Player\CurrentDatabase_372.wmdb
• %AppDataLocal%\Microsoft\Internet Explorer\Recovery\High\Active\RecoveryStore.{9874717A-0337-11EA-A193-005056BC5B9B}.dat
• %Program Files%\Speedup\is-7MO88.tmp
• %Program Files%\Speedup\unins000.exe
• %AppDataLocal%\Microsoft\Internet Explorer\MSIMGSIZ.DAT
• %AppDataLocal%\Microsoft\Internet Explorer\DomainSuggestions\en-US.6
• %AppDataLocal%\Microsoft\Internet Explorer\Recovery\High\Active\{9874BF9C-0337-11EA-A193-005056BC5B9B}.dat
• %AppDataLocal%\Microsoft\Internet Explorer\Recovery\High\Active\RecoveryStore.{9874BF9A-0337-11EA-A193-005056BC5B9B}.dat
• %Program Files%\Speedup\coons.exe
• %Program Files%\Speedup\is-72O70.tmp
• %Program Files%\Speedup\is-ORCCN.tmp

その他

スパイウェアは、以下の不正なWebサイトにアクセスします。

• http://{BLOCKED}leloks.space
• http://{BLOCKED}leloks.space/nIgBf1TQb0qwFzyy/conf.php
• http://{BLOCKED}is.top
• http://drive.{BLOCKED}e.com
• http://go.{BLOCKED}oft.com
• http://{BLOCKED}er.org
• http://api.{BLOCKED}g.com
• http://www.{BLOCKED}g.com
• http://sqm.{BLOCKED}try.microsoft.com
• http://ieonline.{BLOCKED}oft.com

このウイルス情報は、自動解析システムにより作成されました。