TR/Spy.Goldun.LH.2 - Trojan

参照

概要

詳しい説明

統計

ウイルス	TR/Spy.Goldun.LH.2
発見日：	21/07/2006
タイプ	トロイの木馬
感染報告有り	いいえ
感染報告	低
感染の可能性	低
ダメージ・ポテンシャル	低～中
スタティック・ファイル	はい
ファイル・サイズ	15.573 バイト
MD5　チェックサム	d0e575a5b4ccdd9d7c2d426cd4ed60e5
VDFファージョン：	6.35.00.201 - Fri, 21 Jul 2006 15:55 (GMT+1)
IVDFファージョン：	6.35.00.241

一般情報 感染方法
   • それ自体に伝染能力はない

別名
   • Kaspersky(カスペルスキー) Trojan-Spy.Win32.Goldun.lh
   • ウイルスバスター TrojanSpy.Goldun.IX

プラットフォーム/OS：
   • ウインドウズ 95
   • ウインドウズ 98
   • ウインドウズ 98 SE
   • ウインドウズ NT
   • ウインドウズ ME
   • ウインドウズ 2000
   • ウインドウズ XP
   • ウインドウズ 2003

副作用
   • ファイルを作成します。
   • 悪意ファイルを作成します。
   • レジストリの改変。
   • 情報を盗みます。
   • サード・パーティ・コントロール

作成された画像ファイルの内容を表示します。

ファイル最初に実行したコピーの方を削除します。

以下のファイルが作成されます：

– %SYSDIR%\msinet32.dll 詳しい調査の結果、このファイルもマルウェアであることが判明しました。以下のように検出されました： TR/Spy.Goldun.LH.1

– %TEMPDIR%\vges.bat 作成が完了した後、起動されます。このバッチ・ファイルはファイルを削除するのに使われます。
– %TEMPDIR%\image.bmp 作成が完了した後、起動されます。このファイルの種類を開くのに標準設定されているアプリケーションを使って開かれます。

レジストリ以下のキーを追加してbrowser helper object(BHO)を登録します。

– HKCR\CLSID\{1548953E-4271-6572-6429-A23F26792311}\InprocServer32
   • "(Default)"="%SYSDIR%\msinet32.dll"
   • "ThreadingModel"="Apartment"

– HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\
   Browser Helper Objects\{1548953E-4271-6572-6429-A23F26792311}

以下のレジストリ・キーが追加されます：

– HKCR\CLSID\{1548953E-4271-6572-6429-A23F26792311}
   • "list"=hex:6f, 96, 1f, f4, e0, e6, 6c, f8, f3, 9a, 72, c8, 78, 19, dc, 74, a8, 95, ce, ab, 8a, 4e, 1f, 1f, f, 60, a1, 28, 5d, 67, 2a, 2, 53, 2b, 5, 9e, 18, 4a, e6, 3d, 7e, 77, 7e, 41, 63, 86, 81, 81, b1, 12, f4, 74, 37, f9, ec, f2, ad, 5d, 23, 16
   • "barab"=hex:6f, 96, 1f, f4, e0, e6, 6c, f8, f3, 9a, 72, c8, 78, 19, dc, 74, a8, 95, ce, ab, 8a, 4e, 1f, 1f, f, 60, a1, 28, 5d, 67, 2a, 2, 53, 2b, 5, 9e, 18, 4a, e6, 3d, 7e, 77, 7e, 41, 63, 86, 81, 81, b1, 12, f4, 54, af, 11, 8c, 94, e7, 2d, 5b, 7, 9b
   • "vbra0001"=hex:6f, 96, 1f, f4, e0, e6, 6c, f8, f3, 9a, 72, c8, 78, 19, dc, 74, a8, 95, ce, ab, 8a, 4e, 1f, 1f, f, 60, a1, 28, 5d, 67, 2a, 2, 53, 2b, 5, 9e, 18, 4a, e6, 3d, 7e, 77, 7e, 41, 63, 86, 81, 81, b1, 12, f4, dc, 27, f3, 4, c4, 15, 18
   • "fevx0001"=hex:6f, 96, 1f, f4, e0, e6, 6c, f8, f3, 9a, 72, c8, 78, 19, dc, 74, a8, 95, ce, ab, 8a, 4e, 1f, 1f, f, 60, a1, 28, 5d, 67, 2a, 2, 53, 2b, 5, 9e, 18, 4a, e6, 3d, 7e, 77, 7e, 41, 63, 86, 81, 81, b1, 12, f4, 7c, 37, 89, 94, f2, ad, 5d, 23, e
   • "fevx0002"=hex:6f, 96, 1f, f4, e0, e6, 6c, 8, e3, 2, d2, 70, 98, 9, dc, ab, f6, 15, 5e, cb, b4, 8f, 47, 27, b9, 8b, 1, a7, 7f, b6, 6a, 7b, 12, 42, 94, 6a, 7a, 23, 25, 6, c6, 48
   • "fgre0001"=hex:6f, 96, 1f, f4, e0, e6, 6c, f8, f3, 9a, 72, c8, 78, 19, dc, 74, a8, 95, ce, ab, 8a, 4e, 1f, 1f, f, 60, a1, 28, 5d, 67, 2a, 2, 53, 2b, 5, 9e, 18, 4a, e6, 3d, 7e, 77, 7e, 41, 63, 86, 81, 81, b1, 12, f4, 74, af, d9, ac, f2, ad, 5d, 23, 16
   • "fgre0002"=hex:6f, 96, 1f, f4, e0, e6, 6c, 8, e3, 2, d2, 70, 98, 9, dc, ab, f6, 15, 5e, cb, b4, 8f, 47, 27, b9, 8b, 1, a7, 7f, b6, 6a, 7b, 12, 4a, c, 3a, 42, 23, 25, 6, c6, 50
   • "notify"=hex:6f, 96, 1f, f4, e0, e6, 6c, f8, f3, 9a, 72, c8, 78, 19, dc, 74, a8, 95, ce, ab, 8a, 4e, 1f, 1f, f, 60, a1, 28, 5d, 67, 2a, 2, 53, 2b, 5, 9e, 18, 4a, e6, 3d, 7e, 77, 7e, 41, 63, 86, 81, 81, b1, 12, f4, 34, df, 21, cc, b4, 5d, 67, 93, 98, aa, e8
   • "doca0001"=hex:6f, 96, 1f, f4, e0, e6, 6c, f8, f3, 9a, 72, c8, 78, 19, dc, 74, a8, 95, ce, ab, 8a, 4e, 1f, 1f, f, 60, a1, 28, 5d, 67, 2a, 2, 53, 2b, 5, 9e, 18, 4a, e6, 3d, 7e, 77, 7e, 41, 63, 86, 81, 81, b1, 12, f4, c4, c7, 29, bc, cc, e5, 67, 2b, 90, 72, e0
   • "doca0002"=hex:6f, 96, 1f, f4, e0, e6, 6c, 8, e3, 2, d2, 70, 98, 9, dc, ab, f6, 15, 5e, cb, b4, 8f, 47, 27, b9, 8b, 1, a7, 7f, b6, 6a, 7b, 12, fa, 64, ca, 52, 19, 6d, 40, ce, b6, 98, bf

バックドア サーバに接続します。
以下のうちのどれか１つ：
   • http://scamfight.com/Themes/default/images/english/**********
   • http://marysuehubbard.com/images/**********

以下のもの：
   • http://scamfight.com/Themes/default/images/english/**********
   • http://scamfight.com/Themes/default/images/english/**********

結果、いくつかの情報を送る可能性があり、リモート・コントロール機能が生まれるかもしれません。

以下についての情報を送ります：
    • IPアドレス
    • 窃盗セクションに説明されている収集された情報

リモート・コントロール機能
    • ウェブサイトを訪問します。

窃盗 – ウェブサイトを訪問した後ログインを開始します：
   • www.e-gold.com
   • https://www.e-gold.com/acct/
   • https://www.e-gold.com/acct/spend.asp
   • https://www.e-gold.com/acct/verify.asp

– 取り込むのは：
    • インターネット・トラフィック
    • ログイン情報

その他 Mutex(ミューテック)
以下のMutex(ミューテック）を作成します：
• mymutexhttpsendrequest_1516

ファイルの詳細 ランタイム・パッカー
検出されにくくするため、またファイルのサイズを縮小するため、以下のランタイム・パッカーで圧縮してあります。
• PE Pack

簡単な説明はココにあります。.

この説明は Marius T. Nicolae によって Tue, 12 Sep 2006 09:22 (GMT+1) 書き込まれました。
この説明は Marius T. Nicolae によって Tue, 12 Sep 2006 09:47 (GMT+1) 更新されました。

» About Malware
» About Phishing
» Viruses In the Wild

« back