TROJ_DNSCHANG.XT

マルウェアは、リモートサイトから他の不正プログラムにダウンロードされ、コンピュータに侵入します。

マルウェアは、レジストリキーおよびレジストリ値を追加し、セーフモード状態でも自身が実行されるようにします。これにより、感染コンピュータ上でこのマルウェアが削除されるのを避けます。

侵入方法

マルウェアは、リモートサイトから以下の不正プログラムによりダウンロードされ、コンピュータに侵入します。

• TROJ_PIDIEF.AAL

マルウェアは、以下のリモートサイトからダウンロードされ、コンピュータに侵入します。

• http://{BLOCKED}.{BLOCKED}.175.29/load.php

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Program Files%\Common Files\{random file name}.exe

(註：%Program Files%は、標準設定では "C:\Program Files" です。)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
DnsUpdater = %Program Files%\Common Files\{malware file name}.exe

その他

マルウェアは、以下のレジストリ値を追加し、「コントロールパネル」の「プログラムの追加と削除」に「アンインストール」オプションを追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
DnsUpdater1\if1
(Default) = {ethernet adapter}

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
DnsUpdater1
UninstallString = %Program Files%\Common Files\{malware file name}.exe uninstall

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
DnsUpdater1
DisplayName = DNS Changer (remove only)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
DnsUpdater1
Size =

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
DnsUpdater1
NoModify = 1

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
DnsUpdater1
NoRepair = 1

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
DnsUpdater1\if1
DhcpEnabled = 1

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
DnsUpdater1\if1
DnsRecords = {hex values}

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
DnsUpdater1
DnsFile = {BLOCKED}.{BLOCKED}.97.20 {BLOCKED}.{BLOCKED}.97.21

このマルウェアのコードから、マルウェアは、以下の機能を備えています。

• Connects to this URL to get IP addresses that it sets as the new DNS server address: http://www.{BLOCKED}ckin.com/inlogger.php?h={computer name}&u={user name}&t={execution time}
• Connects to this URL for succeeding executions to check for new IP addresses that it sets as the new DNS server address: http://www.{BLOCKED}ckin.com/dns_update.php

マルウェアは、以下の不正なWebサイトにアクセスします。

• http://www.{BLOCKED}ckin.com/inlogger.php?h={computer name}&u={user name}&t={execution time}
• http://www.{BLOCKED}ckin.com/dns_update.php