TROJ_BANLOAD.EKDP

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、レジストリキーおよびレジストリ値を追加し、セーフモード状態でも自身が実行されるようにします。これにより、感染コンピュータ上でこのマルウェアが削除されるのを避けます。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のフォルダを作成します。

• %Windows%\jrx3

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Rappa

マルウェアは、以下のレジストリキーおよびレジストリ値を追加し、セーフモード状態でも自身が実行されるようにします。

HKEY_CURRENT_USER\Rappa
pro = "1B6F98C52C44A3D6175F83EE68EB55B927B92EA92B91F3134C8DC5"

HKEY_CURRENT_USER\Rappa
xp = "0E60AB39A1DB1B6E8CD217429D21A8EA769AFB508DCFCC06479F"

HKEY_CURRENT_USER\Rappa
w7 = "3A4CB7254DA7C438B63FA331AA2C95F967D0325B8F8CC70941"

HKEY_CURRENT_USER\Rappa
start = "7486F17FE7007FF273FB7EEB67E850B23E4496CC0A4CF4124D8CC2"

HKEY_CURRENT_USER\Rappa
user = "ABD2"

作成活動

マルウェアは、以下のファイルを作成します。

• %Windows%\X2015
• %Windows%\jrx3\z28c.jpg
• %Windows%\jrx3\50elq.jpg
• %Windows%\jrx3\aejpu1.jpg
• %Windows%\jrx3\7cgnsy.jpg
• %User Profile%\Windows\v16agmrx.vbs
• %User Startup%\5lgd.LNK

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.. %User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞" です。.. %User Startup%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞\Start Menu\Programs\Startup" 、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、" C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup" です。.)

その他

マルウェアは、以下の不正なWebサイトにアクセスします。

• http://cpro25427.{BLOCKED}cloud.com.br/2801/w7.jpg
• http://cpro25427.{BLOCKED}cloud.com.br/2801/xp.jpg
• http://cpro25427.{BLOCKED}cloud.com.br/2801/pro.jpg
• http://cpro25427.{BLOCKED}cloud.com.br/2801/start.jpg
• {BLOCKED}3.6.113

このウイルス情報は、自動解析システムにより作成されました。