TROJ_AGENT_054481.TOMB

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、タスクマネージャやレジストリエディタ、フォルダオプションを無効にします。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Application Data%\Microsoft\Windows\wininit.exe
• %Windows%\mqtgsvc.exe
• %Application Data%\rsvp.exe
• %System%\drivers\winlogon.exe
• %Windows%\winlogon.exe
• %Windows%\csrss.exe
• %Application Data%\MICROS~1\mstsc.exe

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。. %Windows%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、"C:\Windows" です。. %System%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では "C:\Windows\System32" です。)

マルウェアは、以下のフォルダを作成します。

• %User Temp%\~NwcTemp
• %User Temp%\~NwcTemp\conh10

(註：%User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
MessageService = "%Windows%\mqtgsvc.exe"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
WinLogon = "%System%\drivers\winlogon.exe"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Mstsc = "%Application Data%\MICROS~1\mstsc.exe"

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
Explorer\Run

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
Explorer\Run

HKEY_USERS\.DEFAULT\Software\
Microsoft\Windows\CurrentVersion\
Policies\Explorer\Run

マルウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\policies\
Explorer\Run
WinInit = "%Application Data%\Microsoft\Windows\wininit.exe"

HKEY_CURRENT_USER\Software\Microsoft\
Windows NT\CurrentVersion\Windows
run = "%Windows%\csrss.exe"

マルウェアは、以下のレジストリ値を変更します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows NT\CurrentVersion\Windows
load = "%Windows%\winlogon.exe"

マルウェアは、以下のレジストリ値を追加し、タスクマネージャやレジストリエディタ、フォルダオプションを無効にします。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
Explorer\Run
Microsoft RSVP = "%Application Data%\rsvp.exe"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
Explorer\Run
MessageService = "%Windows%\mqtgsvc.exe"

作成活動

マルウェアは、以下のファイルを作成します。

• %User Temp%\Twain002.Mtx
• %User Temp%\~NwcTemp\conh10\conhost.exe

(註：%User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

その他

マルウェアは、以下の不正なWebサイトにアクセスします。

• http://mx1.{BLOCKED}olympic.org/protocol.php?{random characters}
• http://mx1.{BLOCKED}olympic.org/d/conh10.jpg
• http://t22.{BLOCKED}at.org/d/t14.php
• http://seek4.{BLOCKED}at.org/img/seek.cgi?lin=10&db=dfd
• http://mx1.{BLOCKED}olympic.org/img/seek.cgi?lin=10&db=dfd
• http://mx1.{BLOCKED}olympic.org/ae1.php
• http://seek4.{BLOCKED}at.org/ae1.php
• http://mx1.{BLOCKED}olympic.org/ggu.php
• http://seek4.{BLOCKED}at.org/ggu.php
• http://mx1.{BLOCKED}olympic.org/administrator/templates/hathor/language/object.php
• http://www.{BLOCKED}kiesfactory.com/administrator/components/com_weblinks/views/weblinks/tmpl/diff.php
• http://seek4.{BLOCKED}at.org/{random path}
• http://seek4.{BLOCKED}at.org/plugins/search/view.php
• http://www.{BLOCKED}kiesfactory.com/ggu.php
• http://{BLOCKED}uto.com/{random path}
• http://seek4.{BLOCKED}at.org/dev/modules/mod_mainmenu/system.php
• http://fw.{BLOCKED}at.org/ggu.php
• http://fw.{BLOCKED}at.org/source/diff.php
• http://mx1.{BLOCKED}olympic.org/{random path}
• http://seek4.{BLOCKED}at.org/easternexamination/79simonwright/session.php
• http://{BLOCKED}enmassage.com/criminalboat/code.php
• http://{BLOCKED}uto.com/ggu.php
• http://seek4.{BLOCKED}at.org/infusions/forum_threads_list_panel/javascript.php
• http://seek4.{BLOCKED}at.org/assets/images/gallery/_thumbnails/xd_nivea/inc.php
• http://seek4.{BLOCKED}at.org/wp-content/uploads/2012/09/login.php
• http://fw.{BLOCKED}at.org/jswd/utf.php
• http://{BLOCKED}uto.com/source/diff.php
• http://www.{BLOCKED}egolf.co.kr/source/diff.php
• http://www.{BLOCKED}power.org/infusions/forum_threads_list_panel/javascript.php
• http://www.{BLOCKED}egolf.co.kr/ggu.php
• http://seek4.{BLOCKED}at.org/source/diff.php
• http://www.{BLOCKED}egolf.co.kr/wp-content/themes/semiologic/skins/blank/themes.php
• http://seek4.{BLOCKED}at.org/wp-content/uploads/2013/02/files.php
• http://seek4.{BLOCKED}at.org/administrator/components/com_menus/views/system.php
• http://mx1.{BLOCKED}olympic.org/infusions/forum_threads_list_panel/javascript.php
• http://{BLOCKED}x.com/{random path}
• http://{BLOCKED}enmassage.com/img/seek.cgi?lin=10&db=dfd
• http://seek4.{BLOCKED}at.org/criminalboat/code.php
• http://{BLOCKED}enmassage.com/ggu.php
• http://{BLOCKED}uto.com/bbs/data/main/1181353372/admin.php
• http://www.{BLOCKED}egolf.co.kr/{random path}
• http://mx1.{BLOCKED}olympic.org/wp-content/themes/twentyeleven/images/headers/dirs.php
• http://{BLOCKED}enmassage.com/source/diff.php
• http://seek4.{BLOCKED}at.org/includes/jscripts/tiny_mce/help.php
• http://mx1.{BLOCKED}olympic.org/effortdotneiljones/options.php
• http://{BLOCKED}misr.com/{random path}
• http://mx1.{BLOCKED}olympic.org/gan/gan_wiki/images/a/a4/lib.php
• http://seek4.{BLOCKED}at.org/effortdotneiljones/options.php
• http://mx1.{BLOCKED}olympic.org/includes/jscripts/tiny_mce/help.php
• http://vereda.{BLOCKED}a.ve/gan/gan_wiki/images/a/a4/lib.php
• http://seek4.{BLOCKED}at.org/gan/gan_wiki/images/a/a4/lib.php
• http://seek4.{BLOCKED}at.org/gallery/drakeia/_vti_cnf/info.php
• http://seek4.{BLOCKED}at.org/modules/mod_mostread/tmpl/search.php
• http://{BLOCKED}i.net/{random path}
• http://seek4.{BLOCKED}at.org/cabinetcontrast/incoocies/lib.php

このウイルス情報は、自動解析システムにより作成されました。