TROJ_DLDR.HB

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

マルウェアは、2013年3月に韓国の特定のユーザを狙ったサイバー攻撃に関連しています。マルウェアは、主要な銀行から送信されたように装うスパムメールを介してコンピュータに侵入します。マルウェアは、感染コンピュータに不正活動を展開することとなるマルウェアをダウンロードし、実行します。

マルウェアは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。 マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

作成活動

マルウェアは、以下のファイルを作成します。

• %System%\inhtm.htm

(註：%System%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では "C:\Windows\System32" です。)

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスし、ファイルをダウンロードします。

• http://{BLOCKED}ges.adobe.com/www.adobe.com/ubi/template/identity/adobe/screen/gnav.css (saved as %System%\gscreem.exe)
• http://{BLOCKED}85.com/uploads/fb9c6013f1b269b74c8cd139471b96fc/feng.jpg (saved as %System%\hzcompl.dll)
• http://s1.{BLOCKED}n.net/editor/services/hanmailex/5.11.54/js/editorall.js (saved as %System%\logda.dat)
• http://cardimage.{BLOCKED}ncard.com/img/email/general/btn_carduse.giff (saved as %System%\cutecat.gif)
• hxxp://www.{BLOCKED}lower.net/board/images/start_car.gif (saved as %System%\{random file name}.dll) ) - detected as WORM_STTKR.A
• http://{BLOCKED}daum.net/hanmailex-static/alarm/Notifier.swf (saved as %System%\hinredfh.exe)
• http://{BLOCKED}g.nate.com/mail/img/button/btn_mycomputer.gif (saved as %System%\sotd.dll)
• http://www.{BLOCKED}a.com/public/home_new/images/s/baidu.gif (saved as %System%\logdamain.dat)
• http://www.{BLOCKED}oxylists.net/img/google.bmp (saved as %System%\tefrcft.gif)

その他

マルウェアは、以下のWebサイトにアクセスし、ファイルをダウンロードします。そしてダウンロードされたファイルは、 "%System%\gscreem.exe" として保存されます。

• http://＜省略＞ges.adobe.com/www.adobe.com/ubi/template/identity/adobe/screen/gnav.css

マルウェアは、以下のWebサイトにアクセスし、ファイルをダウンロードします。そしてダウンロードされたファイルは、 "%System%\hzcompl.dll" として保存されます。

• http://＜省略＞85.com/uploads/fb9c6013f1b269b74c8cd139471b96fc/feng.jpg

マルウェアは、以下のWebサイトにアクセスし、ファイルをダウンロードします。そしてダウンロードされたファイルは、 "%System%\logda.dat" として保存されます。

• http://s1.＜省略＞n.net/editor/services/hanmailex/5.11.54/js/editorall.js

マルウェアは、以下のWebサイトにアクセスし、ファイルをダウンロードします。そしてダウンロードされたファイルは、 "%System%\cutecat.gif" として保存されます。

• http://cardimage.＜省略＞ncard.com/img/email/general/btn_carduse.giff

マルウェアは、以下のWebサイトにアクセスし、ファイルをダウンロードします。そしてダウンロードされたファイルは、 "%System%\＜ランダムなファイル名＞.dll" として保存され、「WORM_STTKR.A」として検出されます。

• http://www.＜省略＞lower.net/board/images/start_car.gif

マルウェアは、以下のWebサイトにアクセスし、ファイルをダウンロードします。そしてダウンロードされたファイルは、 "%System%\hinredfh.exe" として保存されます。

• http://＜省略＞daum.net/hanmailex-static/alarm/Notifier.swf

マルウェアは、以下のWebサイトにアクセスし、ファイルをダウンロードします。そしてダウンロードされたファイルは、 "%System%\sotd.dll" として保存されます。

• http://＜省略＞g.nate.com/mail/img/button/btn_mycomputer.gif

マルウェアは、以下のWebサイトにアクセスし、ファイルをダウンロードします。そしてダウンロードされたファイルは、 "%System%\logdamain.dat" として保存されます。

• http://www.＜省略＞a.com/public/home_new/images/s/baidu.gif

マルウェアは作成した以下のファイルを開きます。

• %System%\inhtm.htm