TROJ_DLOADR.XTRM

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、Internet Explorer（IE）のセキュリティ設定を変更します。これにより、マルウェアは、悪意のあるWebサイトへのアクセスが可能になり、感染コンピュータはさらなる脅威にさらされることとなります。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
.max
(Default) = "Matrix.Document"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
.max\ShellNew
NullFile = ""

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Matrix.Document\DefaultIcon
(Default) = "{malware path and file name},0"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Matrix.Document\shell\open\
command
(Default) = "{malware path and file name} "%1""

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Matrix.Document\shell\print\
command
(Default) = "{malware path and file name} /p "%1""

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Matrix.Document\shell\printto\
command
(Default) = "{malware path and file name} /pt "%1" "%2" "%3" "%4""

HKEY_CURRENT_USER\Software\Matrix\
Recent File List

HKEY_CURRENT_USER\Software\Matrix\
Settings

Webブラウザのホームページおよび検索ページの変更

マルウェアは、IEのゾーン設定を変更します。

ダウンロード活動

マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %User Temp%\mss{up to 2 random characters}.exe

(註：%User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

その他

マルウェアは、以下の不正なWebサイトにアクセスします。

• http://{BLOCKED}rquitectura.com/attachment.pdf
• http://www.{BLOCKED}arentechniker.de/attachment.pdf
• http://www.{BLOCKED}etyres.co.uk/attachment.pdf
• http://{BLOCKED}svaldebebas.com/attachment.pdf
• http://BLOCKED}essenergy.co.uk/attachment.pdf
• http://www.{BLOCKED}machines.nl/attachment.pdf
• http://{BLOCKED}c.ucoz.ru/attachment.pdf
• http://www.{BLOCKED}feirabaco.com/attachment.pdf
• http://{BLOCKED}tas.clan.su/attachment.pdf
• http://{BLOCKED}a.clan.su/attachment.pdf
• http://{BLOCKED}sbydesign.uwclub.net/attachment.pdf
• http://{BLOCKED}ausservice.de/attachment.pdf
• http://{BLOCKED}er.do.am/attachment.pdf
• http://{BLOCKED}l.{BLOCKED}abdl.com/attachment.pdf
• http://{BLOCKED}din.republika.pl/attachment.pdf
• http://{BLOCKED}ery.{BLOCKED}m3w.ch/attachment.pdf
• http://www.{BLOCKED}ina.it/attachment.pdf
• http://{BLOCKED}core.p0.ru/attachment.pdf
• http://{BLOCKED}noyakata.web.fc2.com/attachment.pdf
• http://{BLOCKED}or.{BLOCKED}2.com/web/404.html
• http://{BLOCKED}coruxo.com/attachment.pdf
• http://{BLOCKED}ngar.com/attachment.pdf
• http://www.{BLOCKED}lacasadellasposa.it/attachment.pdf
• http://{BLOCKED}iberia.com/attachment.pdf
• http://{BLOCKED}matology.com/attachment.pdf
• http://www.{BLOCKED}one.it/attachment.pdf
• http://{BLOCKED}io.com/attachment.pdf
• http://www.{BLOCKED}oehrig.de/attachment.pdf
• http://www.{BLOCKED}4.de/attachment.pdf
• http://www.{BLOCKED}odistefano.com/attachment.pdf
• http://www.{BLOCKED}utoarrupe.it/attachment.pdf
• http://{BLOCKED}5.{BLOCKED}1.47.5/attachment.pdf
• http://{BLOCKED}sever.com/attachment.pdf
• http://{BLOCKED}olors.web.fc2.com/attachment.pdf
• http://{BLOCKED}r.fc2.com/web/404.html
• http://www.{BLOCKED}lessandrocolombo.it/attachment.pdf
• http://{BLOCKED}i0001.web.fc2.com/attachment.pdf
• http://{BLOCKED}Oor.fc2.com/web/404.html
• http://{BLOCKED}yt.w8w.pl/attachment.pdf
• http://{BLOCKED}-smi.ucoz.ru/attachment.pdf
• http://{BLOCKED}10_2s.republika.pl/attachment.pdf
• http://{BLOCKED}ba.{BLOCKED}cities.jp/attachment.pdf
• http://{BLOCKED}apa2005.topcities.com/attachment.pdf
• http://www.{BLOCKED}ties.com/docs/errors/404.htm
• http://www.{BLOCKED}ities.com/404.shtml
• http://{BLOCKED}r.fc2.com/web/404.html