TROJ_DLOADER.ROS

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のフォルダを作成します。

• %User Temp%\$inst

(註：%User Temp%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\Temp"、Windows NT の場合、"C:\Profiles\＜ユーザー名＞\TEMP"、Windows 2000、XP、Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\TEMP" です。)

自動実行方法

マルウェアは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\GloballyOpenPorts\
List

他のシステム変更

マルウェアは、以下のファイルを削除します。

• %User Temp%\$inst\0.tmp
• %User Temp%\$inst\1.tmp
• %User Temp%\$inst\2.tmp
• %User Temp%\$inst\3.tmp
• %User Temp%\$inst\4.tmp
• %User Temp%\$inst\5.tmp
• %User Temp%\$inst\6.tmp
• %User Temp%\$inst\7.tmp
• %User Temp%\$inst\8.tmp
• %User Temp%\$inst\9.tmp
• %User Temp%\$inst\10.tmp
• %User Temp%\$inst\11.tmp
• %User Temp%\$inst\12.tmp
• %System%\R_INST~1.BAT

(註：%User Temp%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\Temp"、Windows NT の場合、"C:\Profiles\＜ユーザー名＞\TEMP"、Windows 2000、XP、Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\TEMP" です。. %System%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\System"、Windows NT および 2000 の場合、"C:\WinNT\System32"、Windows XP および Server 2003 の場合、"C:\Windows\System32" です。)

マルウェアは、以下のフォルダを削除します。

• %User Temp%\$inst\

(註：%User Temp%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\Temp"、Windows NT の場合、"C:\Profiles\＜ユーザー名＞\TEMP"、Windows 2000、XP、Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\TEMP" です。)

マルウェアは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SYSTEM\RAdmin\
v2.0\Server\NtUsers

HKEY_LOCAL_MACHINE\SYSTEM\RAdmin\
v2.0\Server\Parameters

マルウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\RAdmin\
v2.0\Server\NtUsers
1 = {random values}

HKEY_LOCAL_MACHINE\SYSTEM\RAdmin\
v2.0\Server\Parameters
NTAuthEnabled = {random values}

HKEY_LOCAL_MACHINE\SYSTEM\RAdmin\
v2.0\Server\Parameters
Parameter = {random values}

HKEY_LOCAL_MACHINE\SYSTEM\RAdmin\
v2.0\Server\Parameters
Port = {random values}

HKEY_LOCAL_MACHINE\SYSTEM\RAdmin\
v2.0\Server\Parameters
Timeout = {random values}

HKEY_LOCAL_MACHINE\SYSTEM\RAdmin\
v2.0\Server\Parameters
EnableLogFile = {random values}

HKEY_LOCAL_MACHINE\SYSTEM\RAdmin\
v2.0\Server\Parameters
LogFilePath = "%System%\logfile.txt"

HKEY_LOCAL_MACHINE\SYSTEM\RAdmin\
v2.0\Server\Parameters
FilterIp = {random values}

HKEY_LOCAL_MACHINE\SYSTEM\RAdmin\
v2.0\Server\Parameters
DisableTrayIcon = {random values}

HKEY_LOCAL_MACHINE\SYSTEM\RAdmin\
v2.0\Server\Parameters
AutoAllow = {random values}

HKEY_LOCAL_MACHINE\SYSTEM\RAdmin\
v2.0\Server\Parameters
AskUser = {random values}

HKEY_LOCAL_MACHINE\SYSTEM\RAdmin\
v2.0\Server\Parameters
EnableEventLog = {random values}

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile
EnableFirewall = 1

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\GloballyOpenPorts\
List
4899:TCP = "4899:TCP:*:Enabled:systerm"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\AuthorizedApplications\
List
%System%\r_server.exe = "%System%\r_server.exe:*:Enabled:systerm"

作成活動

マルウェアは、以下のファイルを作成します。

• %System%\r_server.exe
• %System%\r_install.bat

(註：%System%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\System"、Windows NT および 2000 の場合、"C:\WinNT\System32"、Windows XP および Server 2003 の場合、"C:\Windows\System32" です。)

このウイルス情報は、自動解析システムにより作成されました。