TSPY_GOLROTED.LCN

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、ワーム活動の機能を備えていません。

スパイウェアは、バックドア活動の機能を備えていません。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、以下の無害なファイルを作成します。

• %Application Data%\pidloc.txt → contains full name and path of malware process
• %User Temp%\holdermail.txt
• %User Temp%\holderwb.txt
• %Application Data%\pid.txt → contains the process id of the malware process

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.. %User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

他のシステム変更

スパイウェアは、以下のレジストリ値を変更します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
Hidden = "1"

(註：変更前の上記レジストリ値は、「{User preference}」となります。)

感染活動

スパイウェアは、ワーム活動の機能を備えていません。

バックドア活動

スパイウェアは、バックドア活動の機能を備えていません。

情報漏えい

スパイウェアは、以下の情報を収集します。

• Computer name
• Local Date and Time
• Installed Language
• .Net Version
• Operating System Platform
• Operating System Version
• Internal IP Address
• External Ip Address
• Installed Antivirus
• Installed Firewall
• Key logs
• Clipboard logs
• Computer Screenshot
• Account information from:
  • Bitcoin
  • Minecraft
  • Steam
  • RuneScape
  • Internet Download Manager
  • jDownloader

スパイウェアは、保存されている以下のEメール認証情報を収集します。

• Thunderbird
• Eudora
• Outlook Express
• MS Outlook 2002/2003/2007/2010
• Google Desktop
• Google Talk
• MSN Messenger
• Windows Mail
• Windows Live Mail
• Yahoo! Mail
• Group Mail
• IncrediMail
• Gmail
• Hotmail
• Netscape Mail
• Outlook 2013

スパイウェアは、以下のブラウザから、ユーザ名、パスワードやホスト名といった保存された情報を収集します。

• Internet Explorer
• Firefox
• Chrome
• Opera
• Safari
• SeaMonkey

その他

スパイウェアは、以下のWebサイトにアクセスして感染コンピュータのIPアドレスを収集します。

• http://whatismyipaddress.com/

スパイウェアが作成する以下の無害なファイルは、マルウェアのプロセスの完全な名称およびパスを含んでいます。

• %Application Data%\pidloc.txt

スパイウェアが作成する以下の無害なファイルは、マルウェアのプロセスのプロセスIDが含まれています。

• %Application Data%\pid.txt

スパイウェアが収集する情報は以下のとおりです。

• コンピュータ名
• 現地日時
• インストールされた言語
• NETのバージョン
• OSのプラットフォーム
• OSのバージョン
• 内部IPアドレス
• 外部IPアドレス
• インストールされたセキュリティ対策製品
• インストールされたファイアフォール
• キー入力操作情報
• クリップボードの情報
• コンピュータのスクリーンショット
• 以下のアカウント情報
  • Bitcoin
  • Minecraft
  • Steam
  • RuneScape
  • Internet Download Manager
  • jDownloader

スパイウェアは、収集した情報を以下の手法で送信します。

• Simple Mail Transfer Protocol (SMTP) server: smtp.{BLOCKED}il.com
• File Transfer Protocol (FTP)サイト: ftp.{BLOCKED}an.mobi
• Webパネル: http://www.site.com/logs.php

スパイウェアは、ルートキット機能を備えていません。

スパイウェアは、脆弱性を利用した感染活動を行いません。