TSPY_GOLROTED.YZAT

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、Internet Explorer（IE）のゾーン設定を変更します。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、以下のファイルを作成します。

• %Application Data%\Microsoft\Windows\isshost.exe - detected as TROJ_LOADER.NHH

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

スパイウェアは、以下の無害なファイルを作成します。

• %Application Data%\pid.txt - contains the process id of the malware
• %Application Data%\pidloc.txt - contains full name and path of malware
• %User Temp%\holdermail.txt
• %User Temp%\SysInfo.txt
• %User Temp%\Login Data

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.. %User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

スパイウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Application Data%\Windows Update.exe
• %Application Data%\Microsoft\Windows\dslsvc.exe

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

自動実行方法

スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Windows Update = "%Application Data%\WindowsUpdate.exe"

他のシステム変更

スパイウェアは、以下のレジストリ値を変更します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
Hidden = "1"

(註：変更前の上記レジストリ値は、「"2"」となります。)

Webブラウザのホームページおよび検索ページの変更

スパイウェアは、IEのゾーン設定を変更します。

情報漏えい

スパイウェアは、以下の情報を収集します。

• Computer name
• Local Date and Time
• Installed Language
• .Net Version
• Operating System Platform
• Operating System Version
• Internal IP Address
• External Ip Address
• Installed Antivirus
• Installed Firewall
• Key logs
• Clipboard logs
• Computer Screenshot
• Account information from:
  
  • Bitcoin
  • Minecraft
  • Steam
  • RuneScape
  
  

スパイウェアは、保存されている以下のEメール認証情報を収集します。

• MS Outlook
• MS Outlook Express
• Gmail
• Google Talk
• Google Picasa
• GMail Notifier
• Google Desktop Search Mail
• Yahoo! Mail
• IncrediMail
• Mozilla Thunderbird
• FoxMail
• Windows Live Mail
• MSN Messenger
• Pidgin Messenger
• Paltalk Messenger
• Miranda Messenger
• Windows Credential Manager
• Internet Account Manager

スパイウェアは、以下のブラウザから、ユーザ名、パスワードやホスト名といった保存された情報を収集します。

• Internet Explorer
• Google Chrome
• Opera
• Firefox
• Apple Safari
• Flock
• Chrome SXS
• CoolNovo
• SeaMonkey
• Comodo Dragon

情報収集

スパイウェアは、SMTPを用いて、自身が収集した情報を以下のEメールアドレスに送信します。

• {BLOCKED}inky101@amakiri.eu

その他

スパイウェアは、以下のWebサイトにアクセスして感染コンピュータのIPアドレスを収集します。

• http://whatismyipaddress.com/