TROJ_AGENT.JAAB

マルウェアは、リモートサイトから他の不正プログラムにダウンロードされ、コンピュータに侵入します。

侵入方法

マルウェアは、以下のリモートサイトからダウンロードされコンピュータに侵入します。

• http://web.kfc.ha.cn:6668/Down/my/124.exe

マルウェアは、リモートサイトから以下の不正プログラムによりダウンロードされ、コンピュータに侵入します。

• JS_AGENT.AYMN

インストール

マルウェアは、以下のフォルダを追加します。

• C:\Winup
• D:\Winup

マルウェアは、以下のプロセスを追加します。

• cmd.exe

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• mutex_cpa_.la
• mutex_cj1.la
• mutex_cj2.la

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスし、不正なファイルをダウンロードして実行します。

• http://{BLOCKED}.ha.cn:6668/Down/ext2/wow.exe - detected as TSPY_GAMETHI.ECF
• http://{BLOCKED}.ha.cn:6668/Down/ext2/wd.exe - detected as TSPY_LOLYDA.SMF
• http://{BLOCKED}.ha.cn:6668/Down/ext2/mhxy.exe - detected as TSPY_DOZMOT.SMC
• http://{BLOCKED}.ha.cn:6668/Down/ext2/tl.exe - detected as TSPY_DOZMOT.SMC
• http://{BLOCKED}.ha.cn:6668/Down/ext2/dh2.exe - detected as TSPY_DOZMOT.SMC
• http://{BLOCKED}.ha.cn:6668/Down/ext/100013.exe - detected as TROJ_STARTPA.ABB
• http://{BLOCKED}.ha.cn:6668/Down/ext2/wl.exe - detected as TSPY_GAMETHI.ECE
• http://{BLOCKED}.ha.cn:6668/Down/ext/fetion016.exe - detected as TROJ_DLOADR.AVQ
• http://{BLOCKED}.ha.cn:6668/Down/ext/me2430.exe - detected as TROJ_STARTPA.SB
• http://{BLOCKED}.ha.cn:6668/Down/ext2/rxcq.exe - detected as TSPY_DOZMOT.SMC
• http://{BLOCKED}.ha.cn:6668/Down/ext/qm.exe - detected as TSPY_QQPASS.ARJ
• http://{BLOCKED}.ha.cn:6668/Down/ext/small.exe - detected as TROJ_DROPPR.CK
• http://{BLOCKED}.ha.cn:6668/Down/ext/baoma.exe - detected as MAL_OTORUN5
• http://{BLOCKED}.ha.cn:6668/Down/ext2/wmgj.exe - detected as TSPY_GAMETHI.ECG
• http://{BLOCKED}.ha.cn:6668/Down/ext2/qqhx.exe - detected as TSPY_DOZMOT.SMC
• http://{BLOCKED}.ha.cn:6668/Down/ext/dmlq.exe - detected as TROJ_NETINS.SMA
• http://{BLOCKED}.ha.cn:6668/Down/ext/dianxin.exe - detected as TROJ_DROPPR.CN
• http://{BLOCKED}.ha.cn:6668/Down/ext2/lszt.exe - detected as TSPY_DOZMOT.SMC
• http://{BLOCKED}.ha.cn:6668/Down/ext2/zx2.exe - detected as TSPY_GAMETHI.ECK
• http://{BLOCKED}.ha.cn:6668/Down/ext/4002.exe - detected as TROJ_DLOADR.AVO
• http://{BLOCKED}.ha.cn:6668/Down/ext2/my.exe - detected as TSPY_GAMETHI.ECJ
• http://{BLOCKED}.ha.cn:6668/Down/ext2/jxsj.exe - detected as TSPY_GAMETHI.ECH
• http://{BLOCKED}.ha.cn:6668/Down/ext/dk.exe - detected as TROJ_AGENT.SMA
• http://{BLOCKED}.ha.cn:6668/Down/ext2/qqsg.exe - detected as TSPY_DOZMOT.SMC
• http://{BLOCKED}.ha.cn:6668/Down/ext2/mhzx.exe - detected as TSPY_DOZMOT.SMC
• http://{BLOCKED}.ha.cn:6668/Down/ext2/cqsj.exe - detected as TSPY_DOZMOT.SMC
• http://{BLOCKED}.ha.cn:6668/Down/ext/Alexa.exe - detected as TROJ_DLOADR.AVP
• http://{BLOCKED}c.ha.cn:6668/Win7/mp/g.css - detected as TROJ_HAMER.D

マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• c:\Winup\kb93623.exe

その他

マルウェアは、以下のプロセスの存在を確認します。

• 360sd.exe
• 360tray.exe
• MPMon.exe
• Mcshield.exe
• Ravmond.exe
• VPTray.exe
• ashWebSv.exe
• avguard.exe
• avp.exe
• ekrn.exe
• kissvc.exe
• kvsrvxp.exe
• BarClientView.exe
• Barclient.exe
• EWay.exe
• NBClient.exe
• NxpAuxSvc.exe
• clsmn.exe
• mzdclient.exe
• scon.exe