TROJ_DNSCHANGER.JJ

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %User Temp%\{8 random numbers}

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

自動実行方法

マルウェアは、以下のファイルを作成します。

• %Windows%\Tasks\{random GUID 1}.job - for Windows XP and prior

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Console\%SystemRoot%_System32_WindowsPowerShell_v1.0_powershell.exe

HKEY_CURRENT_USER\Console\%SystemRoot%_System32_svchost.exe

HKEY_CURRENT_USER\Console\taskeng.exe

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Console\%SystemRoot%_System32_WindowsPowerShell_v1.0_powershell.exe
WindowPosition = "201329664"

HKEY_CURRENT_USER\Console\%SystemRoot%_System32_svchost.exe
WindowPosition = "201329664"

HKEY_CURRENT_USER\Console\taskeng.exe
WindowPosition = "201329664"

マルウェアは、以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\Tcpip\Parameters
NameServer = "82.163.142.3 95.211.158.130"

(註：変更前の上記レジストリ値は、「{user-defined}」となります。)

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\Tcpip\Parameters
DHCPNameServer = "82.163.142.3"

(註：変更前の上記レジストリ値は、「{user-defined}」となります。)

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\Tcpip\Parameters\
Interfaces\{random GUID 2}
DHCPNameServer = "82.163.142.3"

(註：変更前の上記レジストリ値は、「{user-defined}」となります。)

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\Tcpip\Parameters\
Interfaces\{random GUID 2}
NameServer = "82.163.142.3 95.211.158.130"

(註：変更前の上記レジストリ値は、「{user-defined}」となります。)

その他

マルウェアは、以下の不正なWebサイトにアクセスします。

• http://{BLOCKED}.{BLOCKED}.184.10
• http://{BLOCKED}s.net
• http://{BLOCKED}u.org/u/
• http://{BLOCKED}fun.info/u/
• http://{BLOCKED}s.info/u/
• http://{BLOCKED}lmy.info/u/
• http://{BLOCKED}o.info/u/
• http://{BLOCKED}o.info/u/
• http://{BLOCKED}a.info
• http://{BLOCKED}rut.info/u/
• http://{BLOCKED}cool.info/u/
• http://{BLOCKED}cool.net/u/
• http://{BLOCKED}set.info/u
• http://{BLOCKED}as.info/u/
• http://{BLOCKED}.info/u/
• http://{BLOCKED}ljob.info/u/
• http://{BLOCKED}h.info
• http://{BLOCKED}h.net
• http://{BLOCKED}suns.info/u/
• http://{BLOCKED}tnew.net/u/
• http://{BLOCKED}et.biz/u/
• http://{BLOCKED}bmy.com/u/
• http://{BLOCKED}un.info/u/
• http://{BLOCKED}s.net/u/
• http://{BLOCKED}i.info

マルウェアは、 Windows のタスクスケジューラを用いて、PowerShellスクリプトをスケジュール設定で実行させるタスクを追加します。このスクリプトは、スケジュール設定されたタスクにより（コンピュータごとに設定されたランダムな時間で）毎日実行されます。

このスケジュール設定されたタスクは、PowerShellスクリプトを実行するために以下のコマンドラインを備えています。:

%System%\WindowsPowershell\v1.0\powershell.exe -windowstyle hidden -noninteractive -ExecutionPolicy bypass -EncodedCommand {Base64-encoded script}