TROJ_ADLOAD.USRK

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %User Temp%\ns{random 1}.tmp
• %User Temp%\ns{random 2}.tmp\Base64.dll
• %User Temp%\ns{random 2}.tmp\System.dll
• %User Temp%\ns{random 2}.tmp\peizhi.ini
• %User Temp%\ns{random 2}.tmp\modern-wizard.bmp
• %User Temp%\ns{random 2}.tmp\nsDialogs.dll
• %User Temp%\ns{random 2}.tmp\aiqing.rtf
• %User Temp%\ns{random 2}.tmp\ToolTips.dll
• %User Temp%\ns{random 2}.tmp\nsExec.dll
• %User Temp%\ns{random 2}.tmp\nsCD11.tmp
• %User Temp%\ns{random 2}.tmp\nsCE5A.tmp
• %Application Data%\Microsoft\Internet Explorer\Quick Launch\hao123ÉÏÍøµ¼º½.lnk
• %ProgramData%\Microsoft\Windows\Start Menu\Programs\°®Çé.ÖÇ»Û.3.8\жÔØ.lnk
• %ProgramData%\Microsoft\Windows\Start Menu\Programs\°®Çé.ÖÇ»Û.3.8\°®Çé.ÖÇ»Û.3.8.lnk
• %ProgramData%\aie.ico
• %ProgramData%\123\hao123.ico
• %Program Files%\aiqngz3.8\Aiqngz3.8.exe
• %Program Files%\aiqngz3.8\uninstall.exe
• %Program Files%\aiqngz3.8\fastlo.exe
• %Program Files%\aiqngz3.8\Txsvr.exe
• %Program Files%\aiqngz3.8\setings.ini
• %Favorites%\hao123ÍøÖ·´óÈ«.url
• %Favorites%\Á´½Ó\hao123ÍøÖ·´óÈ«.url
• %Desktop%\hao123ÉÏÍøµ¼º½.lnk
• %Desktop%\°®Çé.ÖÇ»Û.3.8.lnk

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.. %Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.. %ProgramData%フォルダは、Windows Vista および 7 の場合、通常、"C:\ProgramData"、Windows 2000、XP (32ビット)、Server 2003 の場合、"C:\Program Files"、Windows XP (64ビット) の場合、"C:\Program Files (x86)" です。. %Program Files%フォルダは、プログラムファイルのフォルダで、いずれのオペレーティングシステム(OS)でも通常、 "C:\Program Files"、64bitのOS上で32bitのアプリケーションを実行している場合、 "C:\Program Files (x86)" です。.. %Favorites%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Favorites"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\Favorites" です。.. %Desktop%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Desktop"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\Desktop" です。.)

マルウェアは、以下のフォルダを作成します。

• %User Temp%\ns{random 2}.tmp
• %ProgramData%\123
• %Program Files%\aiqngz3.8
• %Favorites%\Á´½Ó

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.. %ProgramData%フォルダは、Windows Vista および 7 の場合、通常、"C:\ProgramData"、Windows 2000、XP (32ビット)、Server 2003 の場合、"C:\Program Files"、Windows XP (64ビット) の場合、"C:\Program Files (x86)" です。. %Program Files%フォルダは、プログラムファイルのフォルダで、いずれのオペレーティングシステム(OS)でも通常、 "C:\Program Files"、64bitのOS上で32bitのアプリケーションを実行している場合、 "C:\Program Files (x86)" です。.. %Favorites%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Favorites"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\Favorites" です。.)

自動実行方法

マルウェアは、以下のサービスを追加し、実行します。

• Service Name: Txssvr Service
  Display Name: Txssvr Service
  Description: Txssvr Service
  Path to Executable: %Program Files%\aiqngz3.8\Txsvr.exe
  Start Type: Automatic

(註：%Program Files%フォルダは、プログラムファイルのフォルダで、いずれのオペレーティングシステム(OS)でも通常、 "C:\Program Files"、64bitのOS上で32bitのアプリケーションを実行している場合、 "C:\Program Files (x86)" です。.)

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\yere

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\App Paths

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\App Paths\
Aiqngz3.8.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
°®Çé.ÖÇ»Û.3.8

マルウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\yere
ET = 1420177

HKEY_LOCAL_MACHINE\SOFTWARE\yere
EN = {Malware Filename}

HKEY_LOCAL_MACHINE\SOFTWARE\yere
ED = 0

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\App Paths\
Aiqngz3.8.exe
(Default) = %Program Files%\aiqngz3.8\Aiqngz3.8.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
°®Çé.ÖÇ»Û.3.8
DisplayName = °®Çé.ÖÇ»Û3.8

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
°®Çé.ÖÇ»Û.3.8
UninstallString = %Program Files%\aiqngz3.8\uninstall.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
°®Çé.ÖÇ»Û.3.8
DisplayIcon = %Program Files%\aiqngz3.8\uninstall.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
°®Çé.ÖÇ»Û.3.8
DisplayVersion = ""

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
fastlo = "%Program Files%\aiqngz3.8\fastlo.exe" /s

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Main
Start Page = "http://www.hao123.com/?tn=97431923_hao_pg"