TROJ_GATAK.SMJV

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

2015年6月、ステガノグラフィを利用する「Stegoloader」と呼ばれる不正プログラムの感染が、北米の医療関連企業を中心に確認されたことが報告されました。2012年から活動が確認される「TROJ_GATAK」として知られるこの不正プログラムは、ステガノグラフィの手法を用いて画像ファイル（拡張子 PNG）にコンポーネントを隠ぺいします。「ステガノグラフィ」とは、検出や解析を回避するために、ある情報を他の情報の中に埋め込んで存在を隠ぺいする手法です。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ただし、情報公開日現在、このWebサイトにはアクセスできません。

マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。 マルウェアは、実行後、自身を削除します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %User Temp%\~{random digits}.tmp - contains system information

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

マルウェアは、以下のプロセスにコードを組み込みます。

• explorer.exe

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Microsoft\
EventSubsystem

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスし、ファイルをダウンロードします。

• http://{BLOCKED}enpost.org/uploads/f44c9c352a8f254b5fb4a01cd95ec900.png
• http://{BLOCKED}up.net/?di=1142194508311

ただし、情報公開日現在、このWebサイトにはアクセスできません。

情報漏えい

マルウェアは、以下の情報を収集します。

• OS Version
• Computer Name
• Host Name
• Running process

その他

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• http://{BLOCKED}.{BLOCKED}.166.33/report_N_0013_{hex value}_{report status}

マルウェアは、実行後、自身を削除します。

<補足>

情報漏えい

マルウェアは、以下の情報を収集します。

• OS のバージョン
• コンピュータ名
• ホスト名
• 実行中のプロセス

注意：

{レポートステータス} に当てはまる単語は、以下のいずれかになります。:

• already_active
• already_ok
• crc_ok
• except
• except_detail_
• executed_ok
• finished
• gdiplus_not_ok
• gdiplus_ok
• image_not_ok
• image_ok
• image_size_not_ok
• image_size_ok
• image_type_not_ok
• image_type_ok
• mark_already
• mark_not_setted
• mark_ok
• mark_setted
• page_err
• page_ok
• payload_executed
• payload_file_delete_ok
• payload_file_name_ok
• payload_file_run_ok
• payload_file_wait_ok
• payload_file_write_ok
• payload_mem_not_ok
• payload_mem_ok
• payload_no_ok
• payload_ok
• payload_size_ok
• payload_type_bad
• payload_type_exe
• payload_type_exe_wait_del
• payload_type_shell
• process_
• started_ext_
• step_0
• step_1
• step_2
• step_3
• step_4
• watch2_err_1

マルウェアは、以下の条件に合致した場合、自身を終了します。

• コンピュータ内で以下のいずれかのプロセスが存在する場合：
  • aswVBoxClient.exe
  • PEiD.exe
  • SandboxieDcomLaunch.exe
• 以下のレジストリが存在する場合:
  • HKEY_CURRENT_USER\Software\Wine

このマルウェアは、検出回避のためにステガノグラフィを利用します。マルウェアは、特定のURLに接続し、不正活動の大部分が埋め込まれた画像をダウンロードします。その後、マルウェアは、ダウンロードした画像から以下を抽出します。：