TSPY_GOZI.A

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、ルートキット機能を備えており、自身に関連したプロセスおよびファイルを隠匿し、ユーザによる検出および削除を避けます。

スパイウェアは、収集した情報をリモートサイトに送信します。

スパイウェアは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、以下のコンポーネントファイルを作成します。

• %Windows%\new_drv.sys - detected as RTKT_GOZI.A

(註：%Windows%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、"C:\Windows" です。)

スパイウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Windows%\9129837.exe

(註：%Windows%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、"C:\Windows" です。)

スパイウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• ___RHaiuy72Mjtex

自動実行方法

スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
ttool = "%Windows%\9129837.exe"

スパイウェアは、作成されたコンポーネントをシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\new_drv

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Enum\Root\LEGACY_NEW_DRV

他のシステム変更

スパイウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Microsoft\
InetData

スパイウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
InetData
k1 = "{Values}"

HKEY_CURRENT_USER\Software\Microsoft\
InetData
k2 = "{Values}"

HKEY_CURRENT_USER\Software\Microsoft\
InetData
version = "205"

ルートキット機能

スパイウェアは、ルートキット機能を備えており、自身に関連したプロセスおよびファイルを隠匿し、ユーザによる検出および削除を避けます。

プロセスの終了

スパイウェアは、感染コンピュータ上で確認した以下のサービスを終了します。

• wscsvc
• SharedAccess

ダウンロード活動

スパイウェアは、以下のWebサイトから自身のコピーの更新版ファイルをダウンロードします。

• pull.{BLOCKED}rava.com/cmd.cgi

情報漏えい

スパイウェアは、以下の情報を収集します。

• Cached Username/Passwords
• Certificate Informations
• Keystrokes
• Network Traffic (Http.Ftp,Pop3,Imap,Icq)
• Screenshots
• E-mail Credentials

スパイウェアは、収集した情報をリモートサイトに送信します。

その他

スパイウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• pull.{BLOCKED}rava.com/ss.cgi
• pull.{BLOCKED}rava.com/forms.cgi
• pull.{BLOCKED}rava.com/pstore.cgi
• pull.{BLOCKED}rava.com/mail.cgi
• pull.{BLOCKED}rava.com/file.cgi
• pull.{BLOCKED}rava.com/options.cgi
• pull.{BLOCKED}rava.com/cert.cgi
• pull.{BLOCKED}rava.com/keylog.cgi