TROJ_FOIDAN.AX

マルウェアは、リモートサイトから他のマルウェアまたはグレイウェアにダウンロードされ、コンピュータに侵入します。

マルウェアは、感染コンピュータ上の特定の情報を収集します。

侵入方法

マルウェアは、リモートサイトから以下のマルウェアまたはグレイウェアにダウンロードされ、コンピュータに侵入します。

• TSPY_ZBOT.TFZAH

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Application Data%\fnmod_32.exe

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• SYS_A7F20C8D{4 digit number}
• SYS_B82C5620{4 digit number}

マルウェアは、以下のプロセスに組み込まれ、システムのプロセスに常駐します。

• dwm.exe
• taskhost.exe
• taskeng.exe
• wscntfy.exe
• ctfmon.exe
• rdpclip.exe
• explorer.exe
• iexplore.exe

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
FNModuleUpdater = "%Application Data%\fnmod_32.exe"

情報漏えい

マルウェアは、感染コンピュータ上の以下の情報を収集します。

• OS Version
• System Information (32-bit / 64-bit)

その他

マルウェアは、セキュリティ機能「X-Frame-Options」を無効にし、「クリックジャック」攻撃を行うため、以下のAPIをフックします。

• InternetReadFile
• HttpQueryInfoA

マルウェアが収集する感染コンピュータ上の情報は、以下のとおりです。

• OSのバージョン
• システム情報 (32-bit / 64-bit)