TROJ_INJECT.LMV

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、ダウンロードしたファイルを実行します。

マルウェアは、イベントを作成します。 ただし、情報公開日現在、このWebサイトにはアクセスできません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

• %AppDataLocal%\{random characters}\juschedg.exe

(註：%AppDataLocal%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local" です。)

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• 2D5EAY5F-2FCA-4438-AD91-FFKJ3E3EBR_[Normal Process Name]
• 5f38d0f9-564

マルウェアは、以下の通常のプロセスにスレッドを組み込みます。

• iexplore.exe
• firefox.exe

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{Random GUID} = "%AppDataLocal%\{random characters}\juschedg.exe"

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスして自身のコンポーネントファイルをダウンロードします。

• http://{BLOCKED}89.org/wp/333/1.gif

マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %AppDataLocal%\Apps\conhostd.exe

(註：%AppDataLocal%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local" です。)

マルウェアは、ダウンロードしたファイルを実行します。

その他

マルウェアは、以下の不正なWebサイトにアクセスします。

• http://xtrb3h5gyswyzdc5.{BLOCKED}n/ct4.php
• http://anhmgho2efkywudt.{BLOCKED}n/ct4.php

マルウェアは、以下のイベントを作成します。

• 2D5EAY5F-2FCA-4438-AD91-FFKJ3E3EBR-9546
• misdf9009s3ksosk

ただし、情報公開日現在、このWebサイトにはアクセスできません。

マルウェアは、以下のコマンドを利用してダウンロードしたファイルを実行します。

• --SocksPort 52300
• --FascistFirewall

ダウンロードしたファイルを実行するためのコマンドは、匿名通信システム「The Onion Router（Tor）」のクライアントで使われるコマンドパラメータです。

これは、ダウンロードされたファイルがTorのネットワークを利用し、情報やコマンドを送受信するためにTorのサーバへ接続していたことを意味します。