• Email
• Facebook
• Twitter
• Google+
• Linkedin

TrojanSpy.Win32.GOOTKIT.AL

---

• マルウェアタイプ: スパイウェア/情報窃取型
• 破壊活動の有無: なし
• 暗号化:  
• 感染報告の有無: はい

---

  概要

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、実行後、自身を削除します。

スパイウェアは、感染コンピュータ上の特定の情報を収集します。

スパイウェアは、特定のWebサイトにアクセスし、情報を送受信します。

---

  詳細

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、以下のファイルを作成します。

• {Malware Path}\{7 Random Numbers}.bat
• {Malware Path}\{Malware File Name}.inf

スパイウェアは、以下のプロセスを追加します。

• %System%\mstsc.exe "{Malware Path}\{Malware File Name}.exe" → injects itself on a legitimate executable to avoid detection
• {Malware Path}\{7 Random Numbers}.bat → used to delete itself
• cmd /c ""{Malware Path}{7 Random Numbers}.bat" "{Malware Path}\{Malware File Name}.exe""
• attrib -r -s -h "{Malware Path}\{Malware File Name}.exe"

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

スパイウェアは、実行後、自身を削除します。

スパイウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• ServiceEntryPointThread

スパイウェアは、以下のプロセスにコードを組み込みます。

• mstsc.exe → injects itself to avoid detection
• svchost.exe → injects the downloaded payload if downloads succeed

自動実行方法

スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
IEAK\GroupPolicy\PendingGPOs
Count = 1

HKEY_CURRENT_USER\Software\Microsoft\
IEAK\GroupPolicy\PendingGPOs
Path1 = {Malware Path}\{Malware File Name}.inf

HKEY_CURRENT_USER\Software\Microsoft\
IEAK\GroupPolicy\PendingGPOs
Section1 = DefaultInstall

他のシステム変更

スパイウェアは、インストールの過程で、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\AppDataLow → if it successfully downloaded its binary payload
binaryImage{Random} = "HEX VALUES"

感染活動

上記INFファイルには、以下の文字列が含まれています。

[Version]
signature = "$CHICAGO$"
AdvancedINF = 2.5, "You need a new version of advpack.dll"

[DefaultInstall]
RunPreSetupCommands = {Random Characters}:2

[{Random Characters}]
{Malware Path}\{Malware File Name}.exe

ダウンロード活動

スパイウェアは、以下のWebサイトにアクセスし、ファイルをダウンロードします。

• {BLOCKED}ailswimschool.com

情報漏えい

スパイウェアは、感染コンピュータ上の以下の情報を収集します。

• CPU information
• Memory Information (RAM)
• Network Configuration
• UserName
• ComputerName
• Keyboard activity (keylogging)
• ScreenCapture

その他

スパイウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Microsoft\
IEAK\GroupPolicy\PendingGPOs

スパイウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• {BLOCKED}spelrk.com
• {BLOCKED}ailswimschool.com
• {BLOCKED}uechallenge.com
• {BLOCKED}u.org
• {BLOCKED}k.org
• {BLOCKED}u.org

スパイウェアは、以下を実行します。

• It has the following capabilities:
  • It saves its downloaded payload as an encrypted binary blob in the registry before injecting it into a newly spawned svchost.exe.
  • Monitor web browsing activities (HTTP and HTTPS) via proxy on port 6000
  • Load additional modules to perform other malicious behavior, such as:
  • Keylogging
  • Modify proxy settings
  • Screen Capture
• It has the following anti-analysis techniques:
  • It checks for the following environment variable, if matched it will skip its anti-sandbox and anti-analysis routine:
  • crackmeololo
  • It checks the string "Xeon" at HKEY_LOCAL_MACHINE\HARDWARE\DESCRIPTION\System\CentralProcess\0\ProcessorNameString
  • It checks the MAC address of the machine if match with the following hardcoded MAC Address that corresponds the following vendors:
  • F01FAF00 → Dell
  • 00505600 → VMWare
  • 8002700P → PCS System Technology GmbH
  • 000C2900 → VMWare
  • 00056900 → VMWare
  • 0003FF00 → Microsoft
  • 001C4200 → Parallels
  • 00163E00 → XenSource
  • It searches for any of the following loaded module:
  • dbghelp.dll
  • sbiedll.dll
  • It checks if the UserName matches the following:
  • CurrentUser
  • Sandbox
  • It checks if the Computer Name matches the following:
  • SANDBOX
  • 7SILVIA
  • It checks the registry key HKEY_LOCAL_MACHINE\HARDWARE\DESCRIPTION\System for the following string value:
  • AMI
  • BOCHS
  • VBOX
  • QEMU
  • SMCI
  • INTEL – 6040000
  • FTNT-1
  • SONI
  • It checks the registry key HKEY_LOCAL_MACHINE\HARDWARE\DESCRIPTION\VideoBiosVersion for the following string value:
  • VirtualBox
  • It checks the registry key HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\SystemBiosVersion for the following string value:
  • "55274-640-2673064-23950"
  • "76487-644-3177037-23510"
  • "76487-337-8429955-22614"
  • It sets the following environment variables with these corresponding values:
  • standalonemtm = true
  • vendor_id = exe_scheduler_1235
  • Mainprocessoverride = svchost.exe
  • RandomListenPortBase = 6000

---

  対応方法

ご利用はいかがでしたか？　アンケートにご協力ください