TROJ_BANLOAD.CYB

マルウェアは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。 マルウェアは、他のマルウェアに作成され、コンピュータに侵入します。 マルウェアは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。

マルウェアは、ダウンロードしたファイルを実行します。

マルウェアは、自身のコードエラーにより、自身の不正活動を実行することができません。

侵入方法

マルウェアは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。

マルウェアは、他のマルウェアに作成され、コンピュータに侵入します。

マルウェアは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %Windows%\system\{malware name}.EXE - copy of itself
• %Windows%\infosapi.dll - non malicious
• %Windows%\UMANDA.reg - registry file when executed creates autostart registry entry for the malware
• %System%\wbem\acpi.vxd - non malicious

(註：%Windows%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows9x、Me、XP、Server 2003の場合、"C:\Window"、WindowsNT および 2000の場合、"C:\WINNT" です。. %System%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\System"、Windows NT および 2000 の場合、"C:\WinNT\System32"、Windows XP および Server 2003 の場合、"C:\Windows\System32" です。)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
SharedAPPs = {malware path and file name}

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスし、ファイルをダウンロードします。

• http://{BLOCKED}chomes.in/images/images.rar
• http://{BLOCKED}olhado.com.br/js/images.rar
• http://{BLOCKED}l-levata.com/js/images.rar
• http://{BLOCKED}.com/js/images.rar
• http://{BLOCKED}x-arq.com/js/images.rar
• http://{BLOCKED}igoseamigos2010.kit.net/images.rar
• http://{BLOCKED}lacionandoamigos.kit.net/images.rar
• http://{BLOCKED}lpemacla.kit.net/images.rar
• http://{BLOCKED}nanet2006.kit.net/images.rar
• http://{BLOCKED}usamonteloavalanche.kit.net/images.rar
• http://{BLOCKED}igossysters.kit.net/images.rar
• http://{BLOCKED}perbonus.kit.net/images.rar
• http://{BLOCKED}amigos2010.kit.net/images.r

マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %System%\{random name} - encrypted file

(註：%System%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\System"、Windows NT および 2000 の場合、"C:\WinNT\System32"、Windows XP および Server 2003 の場合、"C:\Windows\System32" です。)

マルウェアは、ダウンロードしたファイルを実行します。

その他

このマルウェアのコードから、マルウェアは、以下の機能を備えています。

• It then saves the data to the following file: %System%\{random1}
• It then creates the following file which will contain the decrypted data:
• %System%\{random2}
• {random2} file contains 3 binaries which are then saved as the following:
• %System%\wbem\Thumbs\guardian_jp.exe - detected as TROJ_BANKER.PBX
• %System%\wbem\Thumbs\reenvio.exe - detected as TSPY_VERWELI.E
• %System%\wbem\Thumbs\bho.dll - detected as TSPY_BANKER.RMZ
• It then moves the files to the following directory:
• %System%\wbem\Thumbs\guardian_jp.exe to %System%\netsvcs32.exe
• %System%\wbem\Thumbs\reenvio.exe to %System%\NetLogom.exe
• %System%\wbem\Thumbs\bho.dll to %System%\wbem\essclis.dll
• This malware then executes these files.
• It then deletes the 2 files with random file names.

(註：%System%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\System"、Windows NT および 2000 の場合、"C:\WinNT\System32"、Windows XP および Server 2003 の場合、"C:\Windows\System32" です。)

マルウェアは、自身のコードエラーにより、自身の不正活動を実行することができません。