TROJ_FAKEAV.DPW

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、ワーム活動の機能を備えていません。

マルウェアは、バックドア活動の機能を備えていません。

マルウェアは、ダウンロードする機能を備えていません。

ユーザがソフトウェアの購入に同意すると、マルウェアは、特定のWebサイトにアクセスします。 マルウェアは、特定のウィンドウを表示し、ユーザに偽セキュリティソフトの購入を促します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %Start Menu%\Programs\System Progressive Protection\System Progressive Protection.lnk - detected as LNK_FAKEAV.SM2
• %All Users Profile%\Application Data\{random folder name}\{random file name}
• %All Users Profile%\Application Data\{random folder name}\{random file name}.ico
• %Desktop%\System Progressive Protection.lnk - detected as LNK_FAKEAV.SM2

(註：%Start Menu%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Windows\Start Menu" または "C:\Documents and Settings\＜ユーザ名＞\Start Menu"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu" です。. %Desktop%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\デスクトップ"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\デスクトップ" です。)

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %All Users Profile%\Application Data\{random folder name}\{random file name}.exe

マルウェアは、以下のフォルダを作成します。

• %Start Menu%\Programs\System Progressive Protection
• %All Users Profile%\Application Data\{random folder name}

(註：%Start Menu%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Windows\Start Menu" または "C:\Documents and Settings\＜ユーザ名＞\Start Menu"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu" です。)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\RunOnce
{random file name} = "%All Users Profile%\Application Data\{random folder name}\{random file name}.exe"

感染活動

マルウェアは、ワーム活動の機能を備えていません。

バックドア活動

マルウェアは、バックドア活動の機能を備えていません。

ダウンロード活動

マルウェアは、ダウンロードする機能を備えていません。

偽セキュリティソフト型不正プログラムによる不正活動

マルウェアは、以下の偽の警告を表示します。

ユーザがソフトウェアの購入に同意すると、マルウェアは、購入手続きのために以下のWebサイトにアクセスします。

• http://{BLOCKED}lingpay.com/p/?&lid=3070017&affid=60815&nid=DC0C021C&group=srs

マルウェアは、以下のウィンドウを表示し、ユーザに偽セキュリティソフトの購入を促します。

マルウェアは、以下のウィンドウを表示し、コンピュータ内のスキャンをしているように装います。

その他

マルウェアが作成する「LNK_FAKEAV.SM2」として検出されるファイルは以下のとおりです。

• %Start Menu%\Programs\System Progressive Protection\System Progressive Protection.lnk
• %Desktop%\System Progressive Protection.lnk

マルウェアは以下のファイルも作成します。

• %All Users Profile%\Application Data\{random folder name}\{random file name}
• %All Users Profile%\Application Data\{random folder name}\{random file name}.ico

マルウェアは、以下を除くプロセスを終了します。

• alg.exe
• csrss.exe
• ctfmon.exe
• explorer.exe
• iexplore.exe
• lsass.exe
• services.exe
• smss.exe
• svchost.exe
• winlogon.exe

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザに自身のインストールの成功を知らせます。

• http://＜省略＞.＜省略＞.225.41/api/stats/install/?ts=87fe138e

マルウェアは、以下のURLにアクセスし、感染ユーザが偽セキュリティソフトの有効を選択する場合にアクセスするURLを取得します。

• http://＜省略＞.＜省略＞.225.41/api/urls/?ts=87fe138e

マルウェアは、偽セキュリティソフトの有効化のために以下のURLにアクセスする可能性があります。

• http://＜省略＞illing.com/p/?
• http://＜省略＞rketpay.com/p/?
• http://＜省略＞tepors.com/p/?
• http://＜省略＞illing.com/p/?
• http://＜省略＞lingpay.com/p/?
• http://＜省略＞ybilling.com/p/?
• http://＜省略＞gshoper.com/p/?
• http://＜省略＞utbiz.com/p/?
• http://＜省略＞gpayer.com/p/?
• http://＜省略＞gshopes.com/p/?
• http://＜省略＞payment.com/p/?
• http://＜省略＞rchant.com/p/?
• http://＜省略＞s.＜省略＞support.info/?

マルウェアは、ルートキット機能を備えていません。

マルウェアは、脆弱性を利用した感染活動を行いません。