TROJ_VUNDO.FZX

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %User Profile%\My Documents\Iterra\0105.tmp
• %User Profile%\My Documents\Iterra\T03emp03.reg
• %System%\{7_RANDOMCHAR}.dll
• %User Profile%\Cookies\cf

(註：%User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞" です。. %System%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では "C:\Windows\System32" です。)

マルウェアは、以下のフォルダを作成します。

• %User Profile%\My Documents\Iterra

(註：%User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞" です。)

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Windows
LoadAppInit_DLLs = "1"

マルウェアは、以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Windows
AppInit_DLLs = "%System%\werksdg.dll"

(註：変更前の上記レジストリ値は、「""」となります。)

その他

マルウェアは、以下の不正なWebサイトにアクセスします。

• {BLOCKED}ad.com
• {BLOCKED}ns.com
• {BLOCKED}ip.com
• {BLOCKED}ip.com
• {BLOCKED}ast.com
• {BLOCKED}1etag.com
• {BLOCKED}all.com
• {BLOCKED}nda.com
• {BLOCKED}nma.com
• {BLOCKED}mva.com
• {BLOCKED}ix.com
• {BLOCKED}od.com
• {BLOCKED}rns.com
• {BLOCKED}it.com
• {BLOCKED}ets.com
• {BLOCKED}su.com
• {BLOCKED}ck.com
• {BLOCKED}ra.com
• {BLOCKED}lans.ru
• {BLOCKED}e1.com
• {BLOCKED}eta.ru
• {BLOCKED}click.com
• {BLOCKED}tano.com

レジストリに "T03emp03.reg" インストールされた後、マルウェアは以下のフォルダおよびファイルを削除します。

• %User Profile%\My Documents\Iterra
• %User Profile%\My Documents\Iterra\0105.tmp
• %User Profile%\My Documents\Iterra\T03emp03.reg