TROJ_GATAK.FCK

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

マルウェアは、キージェネレータとして配布されていることが2014年1月に確認されました。実際はキーを生成するのではなく、マルウェアを感染したコンピュータにダウンロードします。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %Application Data%\Microsoft\{random folder name}\{random file name} - encrypted

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

マルウェアは、以下のコンポーネントファイルを作成します。

• %Application Data%\Skype\Phone\Skype.exe - also detected as TROJ_GATAK.FCK
• %Application Data%\Google Talk\googletalk.exe - also detected as TROJ_GATAK.FCK
• %Application Data%\advantage\AdVantage.exe - also detected as TROJ_GATAK.FCK

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

マルウェアは、以下のプロセスにコードを組み込みます。

• explorer.exe

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Skype = ""%Application Data%\Skype\Phone\Skype.exe" /nosplash /minimized"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
googletalk = ""%Application Data%\Google Talk\googletalk.exe" /autostart"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
advantage = "%Application Data%\advantage\AdVantage.exe"

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Microsoft\
{random}

その他

このマルウェアのコードから、マルウェアは、以下の機能を備えています。

• Update Self
• Download and execute arbitrary files

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• {BLOCKED}.{BLOCKED}.43.100:80/existe/fermeture?guides=mm807555
• {BLOCKED}.{BLOCKED}.154.72:80/altasure/oprobus?domaine=9394076
• {BLOCKED}s.{BLOCKED}a.co.uk:80/renouvelement?technique=au3330080
• {BLOCKED}a.{BLOCKED}o.com:80/altasure/oprobus?domaine=9394076
• {BLOCKED}s.{BLOCKED}emr.com:80/nmodifier/type?spf=61200091
• {BLOCKED}c.{BLOCKED}-of-inferno.us:80/persistent/client?ref=77790278
• {BLOCKED}hrouth.{BLOCKED}dmindpowerhouse.com:80/calm/stay?void=32847490

マルウェアが作成する暗号化されたファイルは以下のとおりです。

• %Application Data%\Microsoft\＜ランダムなフォルダ名＞\＜ランダムなファイル名＞

マルウェアが作成する自身として検出される以下のコンポーネントファイルは「TROJ_GATAK.FCK」として検出されます。。

• %Application Data%\Skype\Phone\Skype.exe
• %Application Data%\Google Talk\googletalk.exe
• %Application Data%\advantage\AdVantage.exe

このマルウェアのコードから、マルウェアが備える機能は以下のとおりです。

• 自身の更新
• 任意のファイルのダウンロードおよび実行